الخلاصة

  • يصف برنامج APNIC 62 الجلسة بأنها «1.27 مليون هجوم في 204 أيام»، ويستخدم الملخص عبارة «أحداث هجوم»، بينما تعرض الشرائح 1,272,286 «حدثاً إجمالياً».
  • أتت المشاهدة من حساس واحد وعنوان IP عام واحد، مع فتح SSH وTelnet عمداً؛ لذلك ليست إحصاءً لهجمات منطقة آسيا والمحيط الهادئ.
  • يسجل جدول التوقيعات 198,973 حدث نجاح دخول عبر SSH، لكن القمع الذي يعد عناوين IP الفريدة يسجل 4,530 مصدراً فقط في المرحلة نفسها.
  • يحتاج كل رقم رئيسي إلى إيصال قياس يربطه بالحساسات والخدمات والفترة وتصنيف الحدث وقاعدة الخطورة ومفتاح إزالة التكرار والوحدة.

رقم واحد بثلاثة أسماء

يقول عنوان الجلسة في برنامج APNIC إن نشر الحساس بجامعة دكا شهد 1.27 مليون هجوم خلال 204 أيام. ويضيق الملخص المعنى إلى 1.27 مليون «حدث هجوم». أما غلاف العرض فيكتفي بعبارة 1.27 مليون «حدث»، ثم يعطي لوح القياس الرقم الدقيق: 1,272,286.

ليست المسألة تدقيقاً لغوياً. الحدث عادة سجل ينتجه حساس أو قاعدة كشف. ووصفه بأنه حدث هجوم يضيف تصنيفاً تفسيرياً. أما «الهجوم» فيوحي للقارئ بفعل أو واقعة محددة الحدود. يمكن أن ترتبط المفاهيم الثلاثة، لكنها لا تُعد بالطريقة نفسها.

حدود التجربة واضحة: آلة Ubuntu افتراضية واحدة، نواة معالجة واحدة، وذاكرة 2 غيغابايت، و20 غيغابايت لحفظ السجلات، وعنوان IP عام مخصص. فُتح المنفذ 22 لخدمة SSH والمنفذ 23 لخدمة Telnet، وتُرك المرور الوارد متاحاً عن قصد.

هذا الضيق جزء من قيمة الشبكة الخداعية. فهي توضح ما تفعله الماسحات الآلية والجلسات التفاعلية عندما ترى خدمتين مألوفتين في طُعم. لكنها لا تمثل كل مرور جامعة دكا أو بنغلادش أو نطاق APNIC بأكمله.

نجاح واحد، مقامان مختلفان

تكشف شريحة واحدة لب المشكلة. في جهة، يعد جدول التوقيعات 198,973 حدثاً بعنوان «SSH login successful». وفي الجهة الأخرى، يعرض قمع معنْون بـ«عناوين IP الفريدة» 4,530 عنواناً في مرحلة الدخول الناجح. القراءة المعقولة أن الأول يجمع التكرارات، والثاني يزيل تكرار العنوان المصدري، إلا أن المخطط المنشور لا يكفي لإعادة إنتاج الربط بدقة.

تعادل النسبة نحو 44 حدث دخول ناجحاً لكل عنوان وصل إلى هذه المرحلة. حجم الأحداث يقيس الضغط والتكرار على الحساس. وعدد العناوين يقيس مدى المصادر ضمن فترة ومفتاح محددين. ولا يحدد أي منهما أشخاصاً أو مؤسسات أو حملات فريدة.

قد يكون عنوان المصدر جهازاً مخترقاً أو وكيلاً أو مرحّلاً أو بنية استضافة مشتركة أو مخرج NAT، وقد يتغير تخصيصه. يستطيع مشغّل واحد استخدام عناوين كثيرة، وقد يظهر مشغّلون كثيرون خلف عنوان واحد. لذلك لا يثبت عدد 36,598 عنواناً وجود 36,598 مهاجماً بشرياً فريداً.

وتحتاج بقية الأرقام إلى الانضباط نفسه. كلمات المرور الفريدة البالغ عددها 78,411 هي سلاسل جُرّبت على الطُعم، وليست حسابات. وأسماء المستخدمين البالغ عددها 7,107 ليست هويات موثقة. تنزيلات البرمجيات الخبيثة، والأوامر، وروابط القيادة والسيطرة، والأنظمة المستقلة كلها وحدات مختلفة.

نجاح الدخول إلى الطُعم ليس اختراقاً لنظام إنتاج

صُممت مصيدة honeypot لتقبل وتراقب وتحاصر سلوكاً ينبغي أن ترفضه خدمة حقيقية. نجاح جلسة على الطُعم يثبت أن التفاعل تجاوز قواعد الحساس؛ ولا يثبت أن خادماً إنتاجياً في الجامعة تعرّض للاختراق.

مع ذلك، تظل أفعال ما بعد الدخول مهمة: يسجل العرض تنفيذ أوامر وتنزيل ملفات وأنماط بقاء. تنبع قيمتها الدفاعية من إبقاء التسلسل واضحاً—اتصال، محاولة مصادقة، جلسة مقبولة في الطُعم، أمر، ثم حمولة—لا من ضغطه كله في رقم لعمليات اختراق ناجحة.

يوجد تطابق حسابي نظيف حسب البروتوكول: 1,016,974 حدث SSH مع 255,312 حدث Telnet يساويان تماماً 1,272,286. لكن مجموع التوقيعات الثمانية المعروضة يبلغ 1,272,287، أي أكثر بحدث واحد. لا تشرح الشرائح هل تتداخل الفئات أو يوجد خطأ نسخ أو يختلف المرشح. الواجب تسجيل عدم التطابق من دون اختراع سبب.

إرفاق إيصال قياس بالنتيجة

يكفي لكل رقم جدول صغير يذكر الحساسات والخدمات الداخلة، والتواريخ الدقيقة، ونوع الحدث، وقاعدة الخطورة، ومفتاح إزالة التكرار، والوحدة، وحدود الاستدلال بالعنوان. ويحتاج القمع إلى تعريف انتقال كل مرحلة، كما يجب أن يوضح جدول التوقيعات هل فئاته حصرية وكيف يعود مجموعها إلى الإجمالي.

إيصال القياس هذا اقتراح تحريري من Theo March، وليس مطلباً أعلنته APNIC أو جامعة دكا. ولا يستدعي كشف حمولات حساسة. فائدته فصل ضغط الأحداث عن مدى المصادر، والعنوان عن الفاعل، ودخول الطُعم عن اختراق الإنتاج.

ما تثبته المصادر وما لا تثبته

يثبت برنامج APNIC والعرض اسم الجلسة وبنية الحساس والأرقام الظاهرة. وتشرح صفحات المشروع أن الشبكة تستخدم حساسات خداعية لجمع المرور المريب والبرمجيات الخبيثة وأنماط الهجوم. لكنها لا تثبت عدداً للأشخاص أو الوقائع أو الحملات، ولا إسناداً وطنياً أو انتشاراً إقليمياً أو اختراقاً إنتاجياً، ولا تفسر فرق الحدث الواحد في جدول التوقيعات.

المصادر