Zusammenfassung

  • Vom 21. bis 27. September 2026 registrierte APNIC 173 Millionen Ereignisse von 98.958 unterschiedlichen Quell-IP-Adressen.
  • Die sechs Sensorwerte ergeben zusammen 113.299 IP-Vorkommen; nach sensorübergreifender Deduplizierung entfallen 14.341 Wiederholungen.

Ein Sicherheitsdashboard kann in derselben Woche eine riesige Zahl und eine nützlichere Zahl zeigen. Das APNIC-Honeynet protokollierte vom 21. bis 27. September 2026 insgesamt 173 Millionen Ereignisse von 98.958 verschiedenen Quell-IP-Adressen. Die erste Zahl misst Aktivität. Die zweite zählt Adressen, die Sensoren erreicht haben. Es sind keine konkurrierenden Schätzungen derselben Gesamtmenge.

Auch die regionale Karte braucht eine präzise Lesart. APNIC zufolge zeigt die Verteilung nach RIR-Region, wo kompromittierte Geräte und Scan-Infrastruktur stehen, nicht den physischen Standort der steuernden Person. Für Incident Response und den Austausch von Bedrohungsinformationen rückt die ASN-Ebene in den Vordergrund; eine Sicht nach Volkswirtschaften hilft bei der Zusammenarbeit mit nationalen CERTs. Die Karte weist auf Sanierungsarbeit, nicht auf Verdächtige.

OpenCanarys RDP-Ergebnis zeigt, wie temperamentvoll ein Ereigniszähler ist: 6.637 IPs verursachten in einer Woche 25,6 Millionen Verbindungsversuche, rund 3.900 je IP. Die Zahl der Quelladressen zeigt die Breite; die Versuche zeigen Beharrlichkeit und Last. Ein Bot, der tausendfach zurückkommt, erzeugt ein anderes Betriebsproblem als tausende Quellen, die jeweils einmal erscheinen. APNIC zählt eindeutige Quell-IPs, weil ein Bot Millionen Logzeilen erzeugen kann, während sich ein anderes System nur einmal verbindet.

Die Sensortabelle liefert eine dritte Perspektive. Cowrie, das SSH- und Telnet-Dienste nachbildet, sah 72.256 Quell-IPs und 121,1 Millionen Ereignisse. OpenCanary verzeichnete 14.393 IPs und 34,5 Millionen Ereignisse. Addiert man die sechs IP-Zahlen der Sensoren, kommt man auf 113.299. APNIC zählt über das gesamte Netz 98.958 eindeutige IPs. Die Differenz von 14.341 besteht aus zusätzlichen Sensor-IP-Vorkommen, die bei der Deduplizierung über alle Sensoren verschwinden. Sie zeigt den rechnerischen Fußabdruck der Überschneidung, nicht die Zahl unterschiedlicher IP-Adressen mit Mehrfachtreffern.

Auch die angezeigten Prozentanteile summieren sich auf 115 Prozent, weil eine Quelle bei mehreren Sensoren auftauchen kann.

APNIC startete das Community-Honeynet 2019, um Angriffe auf Netze im asiatisch-pazifischen Raum besser sichtbar zu machen. Die Projektbeschreibung verbindet die Beobachtungen mit Mitgliederwerkzeugen wie DASH und dem Austausch von Sicherheitsinformationen. Der Wert des Berichts liegt in dieser Betriebskette: Dienst beobachten, passende Einheit zählen, Netzkontext ergänzen und den Ort der Abhilfe bestimmen.

Quellen