جدول APNIC يكشف تكرار 2,869 عنوان IP على الأقل

الخلاصة

يبلغ مجموع أعداد عناوين IP المصدرية في مستشعرات APNIC الستة 113,299 إدراجًا. أما صف «All honeypots» فيسجل 98,958 عنوانًا فريدًا. والزيادة البالغة 14,341 إدراجًا تعني أن 2,869 عنوانًا مختلفًا على الأقل ظهر على أكثر من مستشعر.
النسب المعروضة بعد التقريب تجمع إلى 115%، لكن التقرير لا يوضح مواضع التداخل. يمكن مقارنة كل مدخل منفردًا، لا تتبع العناوين التي انتقلت إلى مدخل آخر.

لماذا تجمع الطاولة إلى 115%؟

رصدت شبكة Honeynet التي أعادت APNIC بناءها 98,958 عنوان IP مصدريًا فريدًا بين 21 و27 سبتمبر 2026. ويعرض الجدول الأول أعداد ستة مستشعرات: Cowrie سجل 72,256 عنوانًا، وDionaea سجل 21,210، وOpenCanary سجل 14,393، وFortinet سجل 1,876، وADBHoney سجل 1,841، وWebpot سجل 1,723. مجموع الصفوف 113,299.

يتجاوز ذلك الإجمالي الفريد بـ14,341 إدراجًا من نوع عنوان-مستشعر. والنسب المنشورة—73% و21% و15% و2% و2% و2%—تصل إلى 115%. أما قسمة مجموع الأعداد الدقيقة على إجمالي العناوين الفريدة فتعطي 114.49%.

لا يوجد خطأ في الجمع؛ الجدول يخلط مستويين من العد. كل صف يسجل مجموعة العناوين التي وصلت إلى مستشعر واحد. وصف «All honeypots» يجمع المجموعات الست بعد إزالة التكرار. إذا وصل عنوان إلى Cowrie وOpenCanary، يظهر في الصفين لكنه يظهر مرة واحدة في الإجمالي. وإذا وصل إلى ثلاثة مستشعرات، يضيف إدراجين إلى الفارق.

يمكن اشتقاق حد أدنى إضافي من الأرقام نفسها. لا يستطيع عنوان واحد الظهور على أكثر من ستة مستشعرات، ولذلك يضيف بحد أقصى خمسة إدراجات متكررة. قسمة 14,341 على خمسة، مع التقريب إلى الأعلى، تعني أن 2,869 عنوان IP مختلفًا على الأقل شوهد على عدة مستشعرات. وإذا ظهر كل عنوان متكرر على مستشعرين فقط، فقد يصل العدد إلى 14,341. لا ينشر تقرير APNIC العدد الدقيق ولا مصفوفة تقاطعات المستشعرات.

هذا الغياب يطمس سؤالًا عمليًا. يحاكي Cowrie خدمتي SSH وTelnet، بينما يشمل OpenCanary خدمات RDP وقواعد البيانات، ويقلد Webpot تطبيقات الويب، ويعرض مستشعر Fortinet بوابة SSL-VPN. تكشف الأعداد المنفصلة كم عنوانًا بلغ كل مدخل. لكنها لا تكشف إن كان العنوان نفسه ظهر لدى خدمة أخرى خلال الأسبوع.

اختارت APNIC عناوين المصدر بدل حجم الأحداث الخام. سجلت الشبكة 173 مليون حدث في أسبوع؛ يستطيع روبوت واحد ملء ملايين السجلات، بينما يتصل مصدر آخر مرة واحدة. يقلل عد العناوين من أثر تكرار المصدر نفسه على مستشعر واحد. لكنه يظل عدًا للعناوين: لا يتضمن الجدول خانة لجهاز أو شخص. لذلك لا تتحول العناوين إلى تعداد للمشغلين المستقلين.

بالنسبة إلى فريق أمن الشبكات، قد يغير تكرار عنوان عبر عدة مستشعرات ترتيب التحقيق. يمكن ربط الملاحظات والتحقق مما إذا كانت تستحق استجابة مشتركة. أما إذا رأى كل مستشعر مصادر مختلفة في معظمها، فقد تبقى المعالجة خاصة بكل خدمة. لا تسمح الأعداد الهامشية الحالية بالتمييز بين الحالتين. والـ14,341 تقيس الإدراجات بعد الظهور الأول، لا العدد الدقيق للعناوين المتكررة ولا حجم حملة واحدة.

يمكن للتقرير التالي أن يبين عدد العناوين التي ظهرت على مستشعر واحد أو اثنين أو ثلاثة أو أكثر، ثم ينشر التقاطعات الـ15 بين أزواج المستشعرات الستة. كما ينبغي توضيح طريقة تطبيع عنوان المصدر وفترة الرصد. لا حاجة إلى نشر العناوين الخام. تقول APNIC إن الشبكة المعاد بناؤها ما زالت جديدة على التحليل التفصيلي؛ لكن سؤال القياس التالي جاهز. ضعوا الإجمالي بعد إزالة التكرار، وإدراجات المستشعرات، وتوزيع التداخل في جدول واحد، حتى لا يضطر القارئ إلى اكتشاف قاعدة العد من رقم 115%.