Zusammenfassung

  • APNICs sechs Sensorzeilen ergeben 113.299 Einträge von Quell-IP-Adressen. Die Gesamtzeile weist 98.958 eindeutige Adressen aus. Aus den 14.341 zusätzlichen Sensorzuordnungen folgt: Mindestens 2.869 verschiedene IPs wurden von mehr als einem Sensor erfasst.
  • Die gerundeten Sensoranteile summieren sich auf 115 Prozent. Der Bericht nennt keine Schnittmengen. Wer Dienste nach Volumen sortiert, sieht deshalb nicht, wie oft dieselben Quellen an mehreren Türen auftauchten.

Die 115 Prozent sind kein Rechenfehler

Vom 21. bis 27. September 2026 registrierte APNICs neu aufgebautes Honeynet 98.958 eindeutige Quell-IP-Adressen. Tabelle 1 schlüsselt sie nach sechs Sensoren auf: Cowrie 72.256, Dionaea 21.210, OpenCanary 14.393, Fortinet 1.876, ADBHoney 1.841 und Webpot 1.723. Zusammen sind das 113.299.

Damit liegen 14.341 Adress-Sensor-Zuordnungen über der Zahl der einzigartigen IPs. Die ausgewiesenen Anteile von 73, 21, 15, 2, 2 und 2 Prozent ergeben 115 Prozent. Rechnet man mit den ungerundeten Stückzahlen, entsprechen die Zeilen 114,49 Prozent der Gesamtzahl eindeutiger Adressen.

Die Tabelle mischt keine falschen Summen, sondern zwei Zählebenen. Jede Sensorzeile zählt die Adressen, die diesen Sensor erreichten. „All honeypots“ bildet die deduplizierte Vereinigung aller sechs Mengen. Eine IP, die Cowrie und OpenCanary erreichte, steht zweimal in den Sensorzeilen und einmal in der Gesamtzahl. Taucht sie bei drei Sensoren auf, erzeugt sie zwei zusätzliche Zuordnungen.

Aus der Differenz lässt sich sogar ein Mindestwert ableiten. Eine Adresse kann höchstens auf sechs Sensoren erscheinen und damit maximal fünf zusätzliche Zuordnungen erzeugen. 14.341 geteilt durch fünf, aufgerundet: Mindestens 2.869 unterschiedliche Quell-IPs wurden von mehreren Sensoren gesehen. Wenn jede davon genau zwei Sensoren erreichte, wären es bis zu 14.341. APNIC veröffentlicht weder die genaue Zahl noch eine Schnittmengentabelle.

Das ist eine Lücke in der Messung, nicht bloß eine fehlende Grafik. Cowrie imitiert SSH und Telnet, OpenCanary unter anderem RDP und Datenbanken, Webpot Webanwendungen, Fortinet ein SSL-VPN-Portal. Die getrennten Werte zeigen, wie viele Adressen an jeder Tür klopften. Sie zeigen nicht, ob dieselbe Adresse in derselben Woche auch an der nächsten Tür stand.

APNIC zählt Quell-IP-Adressen statt Ereignisse. Das Honeynet protokollierte in dieser Woche 173 Millionen Events; ein Bot kann Millionen Logzeilen erzeugen, während eine andere Quelle nur einmal verbindet. IP-Zählung dämpft diesen Lautstärkeunterschied. Sie bleibt aber eine Zählung von Adressen: Tabelle 1 enthält kein Feld für Geräte oder Personen. Aus den Zeilen wird keine belastbare Zahl eigenständiger Betreiber.

Für ein Security-Team kann die Wiederkehr einer Quelle die Prioritäten ändern. Wer an mehreren Sensoren auftaucht, kann Anlass geben, Beobachtungen zu verknüpfen und den Fall genauer zu prüfen. Sie ist noch kein Beleg für eine gemeinsame Kampagne. Sieht jeder Sensor überwiegend andere Adressen, bleibt die Arbeit womöglich dienstspezifisch. Die derzeitigen Randwerte entscheiden zwischen diesen Szenarien nicht. 14.341 bezeichnet zusätzliche Sensorzuordnungen nach dem ersten Auftreten, nicht die exakte Zahl wiederkehrender IPs.

Der nächste Bericht sollte zeigen, wie viele Adressen auf einem, zwei, drei oder mehr Sensoren erschienen, und die 15 paarweisen Schnittmengen ausweisen. Dazu gehören die IP-Normalisierung und das Beobachtungsfenster. Rohadressen muss APNIC dafür nicht veröffentlichen. Der Bericht nennt das Netz noch zu jung für eine detaillierte Analyse. Die nächste Messfrage ist trotzdem schon sichtbar: Wer 115 Prozent liest, sollte Union, Sensorzuordnungen und Überschneidungen direkt nebeneinander sehen.

Quellen

APNIC: One week on the APNIC honeynet · APNIC Community Honeynet Project