El honeynet de APNIC suma 115 % por sensor

Resumen

Las seis cifras por sensor de APNIC suman 113.299 registros de IP. La fila “All honeypots” cuenta 98.958 direcciones únicas: hay 14.341 apariciones repetidas y, por tanto, al menos 2.869 IP distintas vistas por más de un sensor.
Los porcentajes publicados suman 115 %. El informe deja ver que los conjuntos se solapan, pero no publica intersecciones ni cuántas direcciones tocaron más de un sensor.

El 115 % está contando cruces

Entre el 21 y el 27 de septiembre, APNIC registró 98.958 IP de origen únicas en el conjunto de sus honeypots. La tabla distribuye las direcciones por sensor: Cowrie, 72.256; Dionaea, 21.210; OpenCanary, 14.393; Fortinet, 1.876; ADBHoney, 1.841; y Webpot, 1.723. La suma llega a 113.299.

La diferencia frente al total global es de 14.341 registros dirección-sensor. Una IP que alcanza dos honeypots aparece en las dos filas, aunque solo una vez en “All honeypots”. Por eso los porcentajes redondeados—73 %, 21 %, 15 %, 2 %, 2 % y 2 %—dan 115 %. Con las cifras sin redondear, las filas equivalen al 114,49 % del total de IP únicas.

APNIC eligió la IP de origen para no confundir volumen de eventos con alcance. Durante esa semana, el Honeynet registró 173 millones de eventos: un bot puede producir millones de entradas y otra fuente conectarse una sola vez. Contar IP ayuda a describir cuántas direcciones llegaron a los sensores. Sigue siendo una clave de observación, no el nombre de una persona ni la identidad comprobada de un dispositivo.

La suma prueba que algunos conjuntos de sensores se cruzan. También permite acotar el mínimo: una IP puede aparecer en seis sensores como máximo y aportar cinco registros repetidos; por eso 14.341 excedentes requieren al menos 2.869 direcciones diferentes vistas en varios honeypots. El número exacto sigue oculto. El informe no dice qué parejas compartieron más IP ni si las mismas fuentes pasaron de SSH a RDP y a servicios web.

Para un equipo de red, esa tabla separaría dos situaciones operativas: seis flujos observados por separado o una fuente que toca varias puertas. Las intersecciones agregadas ayudarían a decidir qué observaciones conviene relacionar y dónde investigar después. Por sí solas no identificarían a una persona ni demostrarían una campaña coordinada.

El siguiente informe de APNIC podría mostrar el total global junto con una distribución de IP vistas por uno, dos, tres o más sensores y las 15 intersecciones por parejas. Bastan cifras agregadas; las direcciones concretas pueden seguir privadas. El informe actual ya contiene la pista. El lector no debería tener que sumar las filas para encontrarla.