Galah: Un honeypot impulsado por LLM que utiliza OpenAI

¿Qué es Galah?

Galah es un honeypot web que aprovecha la potencia de los modelos de lenguaje a gran escala (LLM), como OpenAI, para imitar el comportamiento de diversas aplicaciones web. A diferencia de los honeypots tradicionales que se basan en reglas predefinidas, Galah puede responder dinámicamente a solicitudes HTTP arbitrarias, adaptándose al comportamiento del atacante.

¿Cómo funciona Galah?

1. Recepción de solicitudes: Galah recibe una solicitud HTTP de un atacante.
2. Análisis de la solicitud: La solicitud se analiza para determinar su tipo (GET, POST, etc.), la ruta solicitada y los encabezados HTTP.
3. Generación de respuesta: Galah utiliza un LLM, como OpenAI, para generar una respuesta HTTP personalizada en base a la solicitud recibida. La respuesta puede incluir:
   • Contenido HTML: Simulando el contenido de una aplicación web real.
   • Códigos de estado HTTP: Indicando el éxito o el fallo de la solicitud.
   • Encabezados HTTP: Proporcionando información adicional sobre la respuesta.
4. Registro de la interacción: Galah registra la interacción con el atacante, incluyendo la solicitud, la respuesta y la información del atacante.

Ejemplos de uso de Galah:

• Simular una aplicación de inicio de sesión: Galah puede imitar el formulario de inicio de sesión de una aplicación web real, capturando las credenciales del atacante.
• Emular un servicio web: Galah puede responder a solicitudes de API REST, proporcionando datos falsos o incompletos para confundir al atacante.
• Generar respuestas personalizadas: Galah puede adaptar su comportamiento en función de las acciones del atacante, proporcionando respuestas más convincentes.

Ventajas de Galah:

• Flexibilidad: Galah puede adaptarse a una amplia gama de aplicaciones web.
• Evasión de detección: Las respuestas dinámicas dificultan la detección del honeypot por parte de los atacantes.
• Recopilación de información: Galah puede recopilar información valiosa sobre los atacantes y sus métodos.

Limitaciones de Galah:

• Dependencia de LLM: El rendimiento de Galah depende de la calidad de los modelos LLM utilizados.
• Costos de computación: La generación de respuestas dinámicas puede ser computacionalmente costosa.
• Detección basada en el tiempo: Galah puede ser detectado por atacantes que analizan el tiempo de respuesta.

En resumen, Galah es una herramienta prometedora para la detección de intrusos y la recolección de información sobre ataques web. Sin embargo, es importante ser consciente de sus limitaciones y utilizarlo junto con otras medidas de seguridad.

Empresa creadora de Galah:

Desafortunadamente, no hay información públicamente disponible sobre la empresa o el equipo que creó Galah. La documentación oficial no menciona a ninguna entidad específica como responsable de su desarrollo.

Posibles pistas:

• Análisis del código fuente: Si el código fuente de Galah está disponible, podría contener pistas sobre sus creadores. Buscar nombres de empresas, nombres de personas o referencias a organizaciones específicas podría ayudar a identificar a los responsables.
• Búsqueda en redes sociales: Es posible que los creadores de Galah hayan mencionado su trabajo en redes sociales o plataformas de desarrollo de código abierto. Buscar menciones de “Galah honeypot” o “LLM honeypot” en plataformas como GitHub, LinkedIn o Twitter podría arrojar resultados.
• Contacto con expertos en seguridad: Es posible que algunos expertos en seguridad o investigadores en el campo de la detección de intrusos conozcan a los creadores de Galah. Contactarlos directamente y preguntar sobre su conocimiento del proyecto podría ser útil.

Sitio web de Galah:

No hay un sitio web oficial para Galah. La información sobre el honeypot se encuentra principalmente en la documentación oficial, que está disponible en un repositorio de GitHub (https://github.com/0x4D31/galah).

Código abierto:

Galah es un proyecto de código abierto. El código fuente está disponible en el repositorio de GitHub mencionado anteriormente (https://github.com/0x4D31/galah). Esto significa que cualquier persona puede acceder al código, modificarlo y contribuir al proyecto.

Es importante tener en cuenta que, si bien el código es de código abierto, la documentación oficial no menciona ninguna licencia específica. Es recomendable revisar el archivo README del repositorio para obtener más información sobre las condiciones de uso del código.