الخلاصة

  • استقبل طُعم RDP لدى APNIC نحو 25.6 مليون محاولة اتصال من 6,637 عنوان IP مختلفًا في أسبوع واحد، أي قرابة 3,900 محاولة لكل عنوان مرصود في المتوسط.
  • الإشارة هي تكرار الوصول إلى خدمة للتحكم عن بُعد. لم تنشر APNIC عدد عمليات المصادقة الناجحة في هذه العينة.

كل خدمة تُترك بلا مراقبة ستجد من يظن أن الإلحاح صفة شخصية. طُعم RDP لدى APNIC تلقى اتصالات من 6,637 عنوان IP مختلفًا. وخلال سبعة أيام، بلغ عدد محاولات الاتصال 25.6 مليونًا.

جاء القياس من OpenCanary، وهو مصيدة رقمية تحاكي خدمات الوصول عن بُعد وقواعد البيانات. أجرت APNIC الرصد باستخدام شبكة المصائد بعد إعادة بنائها، من 21 إلى 27 سبتمبر 2026. وكان بروتوكول سطح المكتب البعيد، أو RDP، أكثر خدمات OpenCanary جذبًا لعناوين المصدر. وسجّل Microsoft SQL Server عدد 3,598 عنوانًا، بينما سجّل VNC عدد 3,179.

حجم المحاولات يجعل رقم RDP أبلغ من عدد العناوين وحده. فقد أنتجت عناوين المصدر الـ6,637 نحو 25.6 مليون محاولة، أي قرابة 3,900 محاولة لكل عنوان خلال الأسبوع. أما VNC فسجّل 4.2 مليون محاولة من أقل من نصف عدد العناوين. تلقى طُعم RDP نحو ستة أضعاف اتصالات VNC، مع قرابة ضعف عدد المصادر. وتصف APNIC هذا السلوك بالمثابرة: تصل الأنظمة إلى خدمة مكشوفة ثم تعود إليها.

هذا ليس عددًا لعمليات دخول ناجحة. نشرت APNIC عدد محاولات اتصال RDP، لا عدد الجلسات التي اجتازت المصادقة. والرقم القريب من 3,900 متوسط لكل عنوان مصدر؛ لا يعرض التقرير توزيع المحاولات عنوانًا بعنوان. وقد يتغير مستخدم عنوان IP، أو يمثل العنوان عدة أجهزة خلف بنية مشتركة. ما تقيسه العينة هو الضغط على الطُعم، لا عدد الأشخاص أو الأجهزة.

لماذا يهم سطح مكتب وهمي؟ لأنه يقلّد مدخل إدارة حقيقيًا. يتيح RDP للموظفين إدارة جهاز عن بُعد؛ وعندما تكون الخدمة ظاهرة على الإنترنت، تستطيع أدوات المسح العثور عليها. يوصي دليل #StopRansomware الصادر عن CISA بعدم كشف RDP للإنترنت العام. وعندما يكون الوصول عن بُعد ضروريًا، توصي الوكالة بتدابير منها حصر شبكات المصدر، ووضع VPN أو طبقة وصول آمنة أمام الخدمة، وفرض المصادقة متعددة العوامل، ومراقبة سجلات RDP، وقفل الحساب بعد عدد محدد من المحاولات.

لا تسجل عينة APNIC اختراقًا ناجحًا. إنها تسجل عدد المرات التي يطرق فيها المتصلون بابًا مكشوفًا. وينبغي للوحة التشغيل أن تفصل أربعة أعداد: عناوين المصدر المختلفة، ومحاولات الاتصال، وفشل المصادقة، والجلسات المقبولة. يبين الرقمان الأولان من وصل إلى الباب وكم مرة؛ أما الآخران فيبينان إن كان أحد قد دخل. جمعها في رقم واحد باسم «الهجمات» يحول سجلًا مزدحمًا إلى تقرير حادث رديء.

السجل الناقص محدد: لم تنشر APNIC عدد مصادقات RDP الناجحة، ولا أسبوعًا ثانيًا يمكن مقارنته. من شأن قياس لاحق بالمستشعرات نفسها والفترة نفسها أن يبين إن كان ذلك اندفاعًا عابرًا أم ضجيجًا يوميًا. والقرار العملي متاح الآن: إذا لم تحتاج المؤسسة إلى RDP عام، فأغلق مدخله. وإذا احتاجت إليه، فضع مدخلًا خاضعًا للضبط أمامه وسجّل ما يعبر.

لا يوجد موظف استقبال على الإنترنت. يتولى جدار الحماية المناوبة.

المصادر: تقرير APNIC عن أسبوع على شبكة المصائد؛ مشروع Honeynet لدى APNIC؛ دليل #StopRansomware من CISA.