Canary Intelligence API
Télémétrie d'attaque en phase précoce en temps réel
La Canary Intelligence API fournit une télémétrie des attaquants en direct provenant de notre réseau distribué de honeypots — offrant à vos équipes de sécurité une visibilité sur la validation des identifiants, le sondage de comptes et les activités de test de fraude avant que les attaques ne s'intensifient.
Détecter les compromissions après que les dommages surviennent
Dès le premier signe d'intention hostile
City of Hats ne regarde pas les brèches se produire — nous observons les attaquants pendant qu'ils attaquent.
Les honeypots traditionnels attendent passivement. Nos canaris sont conçus pour être découverts — et envoient du renseignement en temps réel lorsque les attaquants interagissent.
Ce que cette API fournit
L'API diffuse des signaux d'événements d'attaque anonymisés provenant du réseau de honeypots City of Hats et de l'infrastructure de leurre partenaire.
Signaux d'attaque détectés
- Tentatives de test d'identifiants
- Empreinte d'automatisation
- Indices d'infrastructure de l'attaquant
- Reconnaissance SIM-swap
- Préparation de replay & credential stuffing
- Sondes de validation de comptes
- Signaux de faux paiements & tests de fraude
Télémétrie axée sur la vie privée
- Aucune PII
- Aucune activité personnelle d'utilisateur
- Uniquement le comportement de l'attaquant
Pourquoi c'est important
La plupart des systèmes ne voient l'activité d'attaque que lorsqu'elle les atteint.
City of Hats voit : l'attaquant s'entraîner — avant la tentative réelle.
Cela permet :
Exemple de signal canari
{
"event_type": "credential_testing",
"timestamp": "2026-01-03T04:12:11Z",
"source_country": "RU",
"infrastructure": "residential-proxy",
"attack_confidence": "high",
"related_domain": "example-company.com",
"threat_stage": "TESTING",
"recommended_action": "monitor_or_step_up_auth"
}Analyse du signal
event_type
Type de comportement d'attaque détecté
infrastructure
Type de proxy/réseau de l'attaquant
attack_confidence
Degré de certitude que c'est malveillant
threat_stage
Position dans l'entonnoir d'attaque
Relation avec la notation des risques
La télémétrie canari est un signal à haute valeur dans le moteur de risques — surtout lorsque :
Ensemble, ils répondent :
"Cette identité est-elle en cours de préparation pour une attaque ?"
Exemples de cas d'utilisation
Fraude & criminalité financière
Détectez les tests d'identité synthétique avant les tentatives d'abus de prêts ou de comptes.
Confiance e-commerce
Détectez la préparation de credential-stuffing avant que les bots n'atteignent le paiement.
Sécurité des effectifs
Identifiez la reconnaissance hostile avant la compromission de comptes d'entreprise.
Défense des télécoms & opérateurs
Détectez l'activité de reconnaissance SIM-swap avant les événements de prise de contrôle.
Référence API
curl -X GET "https://api.cityofhats.com/v1/canary/signals?limit=50&threat_only=true&since_hours=24" \
-H "Authorization: Bearer YOUR_API_KEY"{
"signals": [
{
"id": "sig_82933",
"event_type": "credential_testing",
"confidence": "high",
"source_region": "EU",
"proxy_type": "residential",
"threat_stage": "TESTING",
"related_domain": "example.com",
"timestamp": "2026-01-03T04:12:11Z",
"recommended_action": "monitor_or_step_up"
}
],
"total_count": 142,
"time_range": "24h"
}/v1/canary/threat-feed
Signaux de menace à haute confiance uniquement
/v1/canary/campaigns
Campagnes d'attaque groupées
/v1/canary/stats
Statistiques & tendances du réseau
Référence des champs de réponse
event_type
string
credential_testing | account_probe | sim_recon | fraud_test
confidence
string
low | medium | high — confiance du signal
source_region
string
Origine géographique de l'attaque (région ISO)
proxy_type
string
datacenter | residential | mobile | tor
threat_stage
string
TESTING | ATTACK — position dans l'entonnoir
related_domain
string
Marque/domaine cible testé
recommended_action
string
monitor | step_up | block | alert_soc
Alignement avec l'entonnoir de menaces
Les signaux canari apparaissent généralement à ces étapes critiques :
- Répétition d'identifiants
- Validation de comptes
- Tests de bots
- Abus d'identifiants en direct
- Détournement de session
- Prise de contrôle SIM
Ce qui signifie : Les clients détectent les menaces avant que la monétisation ne commence.
Exemples de déclencheurs d'automatisation
IF:
- Confiance canari =
high - AND Exposition d'identifiants =
true
ACTIONS:
- 🔐 Appliquer l'authentification renforcée
- 📊 Surveiller le comportement transactionnel
- 🚨 Alerter le SOC
Aucune approbation humaine nécessaire. Automatisation pilotée par le renseignement à la vitesse des machines.
Où ça s'intègre
Les signaux canari s'intègrent de manière transparente dans votre infrastructure de sécurité et de fraude existante.
SIEM
Ingestion d'événements en temps réel pour Splunk, Sentinel, Chronicle
SOAR
Playbooks automatisés et orchestration de réponse
Renseignement sur les menaces
Flux d'enrichissement pour les plateformes TIP
Moteurs de fraude
Signaux de risque pour les systèmes de décision
S'intègre également avec :
🔐 Confidentialité & contrôles
Renseignement sur les adversaires — pas de surveillance.
- Aucune surveillance des utilisateurs
- Aucune empreinte comportementale
- Aucune revente de données
- Télémétrie entièrement anonymisée
- Contrôles de gouvernance d'entreprise
- Conforme SOC 2 Type II
⚡ Performance & livraison
Conçu pour les opérations de sécurité en temps réel.
- Streaming en temps réel ou polling
- Couverture honeypot mondiale
- Conçu pour l'ingestion SIEM / SOAR
- Enrichissement à faible latence
- 99.9% uptime SLA
- Débit d'entreprise
Pourquoi les entreprises choisissent Canary Intelligence
Les flux de menaces vous disent ce qui s'est déjà passé. Canary vous dit ce que les attaquants planifient.
La Canary Intelligence API offre à votre organisation un système d'alerte précoce stratégique — détectant le comportement des attaquants avant que les identifiants ne soient transformés en armes et que les comptes ne soient compromis.
Commencez à utiliser Canary Intelligence API
Détectez les attaquants pendant qu'ils s'entraînent. Obtenez une télémétrie d'alerte précoce avant que les identifiants ne soient transformés en armes.