Zusammenfassung

  • LightScope nutzt geschlossene Ports von Produktivservern als Sensoren und leitet ausgewählte Kontakte an einen entfernten Honeypot weiter. Der Vortrag bei RIPE 93 beschreibt zwei Monate mit 235 Installationen und 64.686 Quelladressen von Scannern, die an den Vergleichsstandorten nicht auftauchten.
  • Das Projekt wirbt mit automatischen Meldungen an Provider und individuellen IP-Sperrlisten. Auf seiner Datensatzseite steht zugleich: Eine erfasste IP, Domain oder ASN belegt weder Absender noch Eigentümer noch Verantwortliche. Zwischen Paket und Vorwurf gehört eine nachvollziehbare Entscheidung.

Der Server hat jetzt einen Nebenjob

Ein Produktivserver soll Nutzern dienen. LightScope auf der RIPE 93 gibt ihm eine zweite Aufgabe: die Ports beobachten, die niemand benutzen soll. Der Client sieht Verkehr auf Schicht 4 und kann ausgewählte Begegnungen zu einem entfernten Honeypot auf Schicht 7 durchreichen. Die Falle steht woanders, der Sensor sitzt mitten im laufenden Betrieb. Ein Scanner mag sich bei einem echten Server anders verhalten als bei einer Attrappe, die schon von weitem nach Labor riecht.

Im veröffentlichten Abstract analysieren die Autoren zwei Monate aus 235 LightScope-Installationen. 64.686 Quelladressen von Scannern fehlten an den zum Vergleich herangezogenen Beobachtungsstandorten. Das misst zusätzliche Sichtbarkeit in diesem Versuch. Es zählt keine 64.686 nachgewiesenen Angreifer. Adressen können geteilt, wiederverwendet oder gefälscht werden. Die Zitierseite des Projekts nennt die Originalarbeit von Eric Kapitanski und Jelena Mirkovic bei der ACM IMC 2026. Für die hier beschriebenen Abläufe sind der RIPE-Abstract und die zugänglichen Originalseiten des Projekts maßgeblich.

Spannend wird es beim Verb nach dem Beobachten. Die Projektseite verspricht, „Angreifer“ automatisch an ISPs zu melden und den Teilnehmenden individuelle IP-Sperrlisten zu liefern. Eine Meldung landet möglicherweise bei einem Abuse-Team; eine Liste möglicherweise in einer Firewall. Die geprüften öffentlichen Seiten nennen weder eine überprüfte Zahl versandter Meldungen oder tatsächlich angewandter Sperren noch die genaue Schwelle für das Urteil oder einen sichtbaren Weg zur Korrektur eines Fehlers. Diese Lücke ist für Betroffene und Betreiber wichtiger als eine imposante Zahl erkannter Quellen.

Die FAQ beschreibt die Datengrenze: Verkehr zu offenen Dienstports soll ausgeschlossen sein, Verkehr zu geschlossenen Ports wird beobachtet. Gespeichert werden unter anderem Quell-IP, Zeitstempel und Header-Felder; Ziel-IPs der teilnehmenden Maschinen werden konsistent randomisiert. Ausgewählte Systemdaten und Netzklassifikationen kommen hinzu. Die Seite berichtet über eine Ausnahmebescheinigung des USC-Ethikgremiums mit der Kennung UP-25-00124. Damit ist der Aufbau der Erhebung besser zu verstehen. Die Bescheinigung entscheidet nicht, wann eine IP-Adresse zu einem belastbaren Vorwurf wird.

Wie lokal die Entscheidung ist, zeigt die Installationsanleitung. Der Docker-Schnellstart nutzt das Hostnetz und die Fähigkeiten NET_RAW sowie NET_ADMIN. Für das Linux-Paket beschreibt die Anleitung einen eigenen, sonst unprivilegierten Dienstnutzer mit bestimmten Netzfähigkeiten und automatischem Start. Wer das auf einem laufenden Server installiert, verantwortet Standort, Berechtigungen, Updates und Ausschalter des Sensors. Der entfernte Honeypot nimmt diese Wahl niemandem ab.

Der Hinweis aus dem Datensatz gehört auf die Meldung

Die Originalseite des Datensatzes bietet eine 27 GB große Veröffentlichung zur IMC 2026 und erläutert die Suchfelder. Sie sagt ausdrücklich, dass das Auftauchen einer IP, Domain oder ASN keinen Beleg dafür liefert, dass eine Person oder Organisation den Verkehr gesendet hat, ihn besitzt oder dafür verantwortlich ist. Genannt werden gefälschte Quellen, manipulierte Datenbanken, falsche Fremdmetadaten und Softwarefehler. Ein bemerkenswert konkreter Hinweis. Er sollte jede daraus abgeleitete Meldung und jeden Sperrlisteneintrag begleiten, statt beim Downloadlink zurückzubleiben.

Ein sauberer Übergang beginnt mit Paket und Zeitstempel, führt über dokumentierte Klassifikationsregeln und weitere Belege zur Meldung, die ein Empfänger selbst prüfen kann. Wird gesperrt, gehören Entscheider, Auslöser, Ablaufdatum und Korrekturweg ins Protokoll. Eine Datenbankzeile wird nicht zum Täter, weil das Dashboard rot blinkt.

Heng Lus Notiz 73 fragt, wann Mitwirkung für Entscheidungsmacht gehalten wird. Der Betreiber stellt einen Blickwinkel bereit, das Forschungsteam deutet gebündelte Beobachtungen, der Provider entscheidet über die Meldung und der Administrator über die Sperrliste. Der Inhaber der Quelladresse kann wieder jemand anderes sein. Die zusätzliche Sicht aus der RIPE-Studie ist wertvoll. Gerade deshalb muss sichtbar bleiben, wer aus ihr eine Maßnahme macht.