Zusammenfassung

  • Das Programm der APNIC 62 nennt „1.27M Attacks in 204 Days“, der Abstract spricht von „attack events“, während die Folien exakt 1.272.286 „Total Events“ ausweisen.
  • Gemessen wurde an einem einzigen Sensor mit einer öffentlichen IP und zwei bewusst geöffneten Diensten, SSH und Telnet. Das ist keine Angriffszählung für den gesamten asiatisch-pazifischen Raum.
  • Die Signaturtabelle zeigt 198.973 erfolgreiche SSH-Login-Ereignisse; der nach eindeutigen IPs geführte Trichter zählt auf derselben Stufe 4.530 Quellen.
  • Jede Kennzahl braucht einen Messbeleg mit Sensorumfang, Diensten, Zeitraum, Ereignistaxonomie, Schweregradregel, Deduplizierungsschlüssel und Einheit.

Derselbe Wert trägt drei Etiketten

Laut Veranstaltungstitel sah die Installation an der University of Dhaka binnen 204 Tagen 1,27 Millionen Angriffe. Im Abstract werden daraus 1,27 Millionen Angriffsereignisse. Die Titelfolie sagt nur noch 1,27 Millionen Ereignisse, das Dashboard nennt 1.272.286 als exakten Gesamtwert.

Der Unterschied ist operativ. Ein Ereignis ist üblicherweise ein Datensatz, den ein Sensor oder eine Regel erzeugt. „Angriffsereignis“ fügt bereits eine Klassifizierung hinzu. Ein „Angriff“ klingt für Leser nach einer abgegrenzten Handlung oder einem Vorfall. Die Begriffe können dieselbe technische Kette beschreiben, aber sie zählen nicht dasselbe.

Der Versuchsrahmen ist präzise: eine virtuelle Ubuntu-Maschine, ein CPU-Kern, 2 GB Arbeitsspeicher, 20 GB Log-Aufbewahrung und eine dedizierte öffentliche IP-Adresse. Port 22 für SSH und Port 23 für Telnet waren offen; eingehender Verkehr wurde absichtlich zugelassen.

Gerade diese Begrenzung macht das Honeynet brauchbar. Es zeigt tiefgehend, was automatisierte Scanner und interaktive Sitzungen tun, wenn zwei bekannte Dienste als Köder angeboten werden. Es erfasst nicht den gesamten Verkehr der Universität, Bangladeschs oder der APNIC-Region.

198.973 Ereignisse sind 4.530 Quelladressen

Eine Folie macht den Nennerwechsel sichtbar. Die Signaturaufschlüsselung zählt 198.973 Ereignisse „SSH login successful“. Daneben führt der Trichter unter „Unique IPs“ nur 4.530 erfolgreiche Logins. Naheliegend ist, dass links Quelladressen dedupliziert und rechts wiederholte Ereignisse gezählt werden. Das veröffentlichte Schema reicht aber nicht, um die Zuordnung exakt nachzubauen.

Das entspricht etwa 44 erfolgreichen Ereignissen je Quell-IP, die diese Stufe erreichte. Ereignisvolumen misst Druck und Wiederholung. Die IP-Zahl misst die Adressreichweite innerhalb eines Fensters und eines Schlüssels. Keine der beiden Größen identifiziert einzelne Menschen, Organisationen oder Kampagnen.

Eine Quell-IP kann zu einem kompromittierten Gerät, Proxy, Relay, geteilten Hosting-System oder NAT-Ausgang gehören und später neu zugewiesen werden. Ein Betreiber kann viele Adressen nutzen; viele Betreiber können hinter einer Adresse erscheinen. 36.598 eindeutige Quell-IPs belegen daher nicht 36.598 eindeutige menschliche Angreifer.

Auch die anderen Kacheln brauchen ihre Einheit. 78.411 eindeutige Passwörter sind Zeichenfolgen, die gegen den Köder getestet wurden, keine Konten. 7.107 Benutzernamen sind keine bestätigten Identitäten. Malware-Downloads, Befehle, C2-URLs und autonome Systeme sind jeweils eigene Beobachtungsobjekte.

Ein erfolgreicher Köder-Login ist kein Produktiveinbruch

Ein Honeypot soll Verhalten annehmen, beobachten und einschließen, das ein Produktivdienst abwehren würde. Ein akzeptierter Login belegt daher eine Sitzung nach den Regeln des Sensors. Er belegt nicht die Kompromittierung eines produktiven Universitätsservers.

Die Aktivitäten danach bleiben sicherheitsrelevant. Der Vortrag zeigt Befehlsausführung, Downloads und Persistenzmuster. Ihr Wert liegt in der erhaltenen Abfolge – Verbindung, Authentisierungsversuch, Ködersitzung, Befehl, Nutzlast – und nicht darin, alles zu einer Zahl erfolgreicher Einbrüche zu verdichten.

Die Protokollwerte lassen sich sauber abstimmen: 1.016.974 SSH-Ereignisse plus 255.312 Telnet-Ereignisse ergeben 1.272.286. Die acht angezeigten Signaturwerte summieren sich dagegen auf 1.272.287, also einen mehr. Die Folien erklären weder Überschneidungen noch einen Übertragungsfehler oder abweichenden Filter. Mehr als die fehlende Abstimmung lässt sich daraus nicht folgern.

Ein Messbeleg gehört neben die Schlagzeile

Für jeden Wert sollte eine kurze Karte Sensoren und Dienste, genaue Daten, Ereignistyp, Schweregrad, Deduplizierungsschlüssel, Einheit und Grenzen der IP-basierten Identifizierung nennen. Ein Trichter braucht Übergangsregeln; eine Signaturtabelle muss sagen, ob Kategorien exklusiv sind, und ihren Abgleich mit dem Gesamtwert zeigen.

Dieser Messbeleg ist ein redaktioneller Vorschlag von Theo March, keine von APNIC oder der University of Dhaka angekündigte Pflicht. Sensible Nutzlasten müssten dafür nicht veröffentlicht werden. Druck und Reichweite, Adresse und Akteur sowie Köder-Login und Produktivkompromittierung blieben getrennt.

Was die Quellen belegen – und was nicht

APNIC-Programm und Vortrag belegen Titel, Sensoraufbau und angezeigte Zahlen. Die Projektseiten erklären, dass Honeypot-Sensoren verdächtigen Verkehr, Malware und Angriffsmuster erfassen. Sie belegen weder Menschen- oder Vorfallzahlen noch Länderzuordnung, regionale Häufigkeit oder einen Produktiveinbruch. Auch die Differenz von eins in der Signaturtabelle wird nicht erklärt.

Quellen