Zusammenfassung

  • LightScope setzt einen Sensor auf ungenutzte TCP-Ports von Produktivservern. Im optionalen Honeypot-Modus leitet er ausgewählte Verbindungen an einen anderen Rechner weiter.
  • Kapitanski zeigte auf der RIPE 93, dass Scanner einzelne aktive Hosts unterschiedlich auswählen. Der offizielle Paper-Eintrag beschreibt zwei Monate Daten aus 235 Installationen.

Analyse

Ein Scan auf eine ungenutzte Adresse beantwortet eine einfache Frage: Wer klopft an eine Tür, hinter der kein Dienst läuft? Bei einem aktiven Server lautet die Frage anders: Welchen Rechner wählt der Scanner, und was versucht er nach dem ersten Paket? Eric Kapitanski entwickelte LightScope, um genau diesen Schritt zu beobachten.

Ungenutzter Adressraum diente lange als Teleskop für Internet-Scans. Doch mit der IPv4-Knappheit schrumpft dieser Raum. Ein Scanner kann einen leeren Block anders behandeln als einen Host, der Nutzern einen Dienst bereitstellt. LightScope verlegt den Messpunkt auf diesen Host, ohne den Verkehr seiner laufenden Dienste zu erfassen.

Die Software nutzt freie TCP-Ports. Im passiven Modus zeichnet sie ein eingehendes SYN an einem ungenutzten Port auf. Im optionalen Honeypot-Modus wählt der Betreiber einige dieser Ports aus — Kapitanski nannte meist zehn bis 26 — und LightScope leitet die Verbindungen an einen entfernten Honeypot weiter. Der Produktivserver ist Eingang und Relais; der Täuschdienst läuft auf einer separaten Maschine.

Diese Trennung hält den Verkehr legitimer Dienste aus der Erfassung heraus. Wenn ein Scanner über einen ausgewählten Port weitergeht, zeichnet die entfernte Umgebung auf, was danach folgt: Login-Versuche oder Befehle, die an den Köder gesendet werden. So rückt die Messung an einen aktiven Host heran, ohne dessen eigentlichen Dienst zum Testobjekt zu machen.

Der offizielle Publikationseintrag zum Internet Measurement Conference Paper 2026 beschreibt zwei Monate Daten aus 235 LightScope-Installationen. Auf der RIPE 93 zeigte Kapitanski Scanner, die sich zwischen einzelnen Produktivhosts unterschiedlich verhielten — sogar innerhalb desselben Netzes. Eine breite Übersicht konnte einen Scanner erkennen und trotzdem übersehen, welchen Live-Server er für den nächsten Versuch auswählte.

Der Standort des Sensors gehört zur Messung. Eine leere Adresse zeigt den Scan-Radius; ein freier Port auf einem Live-Host zeigt die Auswahl konkreter Maschinen; der entfernte Honeypot hält fest, was nach dem Verbindungsaufbau geschieht. Diese Stufen beantworten verschiedene Fragen. SYN-Zahlen und Login-Versuche in einen einzigen Zähler zu stecken, verschleiert den Übergang.

Kapitanski sagte, die Installationen seien stark auf US-Bildungsnetze konzentriert gewesen; eine breitere Mischung von Betreibern und Regionen würde verändern, wie weit sich das Muster verallgemeinern lässt. Der Vortrag nennt zwei weitere Grenzen: LightScope erfasst weder UDP noch Backscatter. Eine reine TCP-Sicht deckt nicht alle Scanverfahren ab.

Die Betreiberentscheidung ist überschaubar und konkret: Welche ungenutzten Ports werden Sensoren, welche dürfen Verbindungen weiterleiten, wer liest die Honeypot-Protokolle und wie lange bleiben versuchte Zugangsdaten und Befehle gespeichert? Aus einem stillen Port wird ein Beobachtungspunkt — samt Verantwortung für die Daten.

Quellen