Résumé

  • Les six comptages par capteur d’APNIC représentent 113 299 présences d’adresses sources. La ligne « All honeypots » en compte 98 958 uniques : les 14 341 présences supplémentaires imposent un minimum de 2 869 adresses vues par plusieurs capteurs.
  • Les parts affichées totalisent 115 %. Le rapport révèle le chevauchement des ensembles, sans publier les intersections entre capteurs ni le nombre d’adresses vues plusieurs fois.

Le tableau dépasse 100 %, et c’est le signal

Du 21 au 27 septembre, APNIC a recensé 98 958 adresses IP sources uniques sur l’ensemble de ses honeypots. Le tableau ventile ensuite ces adresses par capteur : 72 256 pour Cowrie, 21 210 pour Dionaea, 14 393 pour OpenCanary, 1 876 pour Fortinet, 1 841 pour ADBHoney et 1 723 pour Webpot. Leur somme atteint 113 299.

La différence face au total global est de 14 341 présences adresse-capteur. Une IP qui atteint deux honeypots apparaît dans les deux lignes, mais une fois dans « All honeypots ». Les parts arrondies—73 %, 21 %, 15 %, 2 %, 2 % et 2 %—atteignent donc 115 %. Avec les effectifs, la somme des lignes représente 114,49 % du total d’IP uniques.

APNIC a choisi l’adresse IP source pour distinguer les sollicitations répétées du nombre d’événements. Le Honeynet a enregistré 173 millions d’événements cette semaine-là ; un seul bot peut produire des millions de journaux, tandis qu’une autre source ne se connecte qu’une fois. Le nombre d’IP décrit mieux ce qui atteint les capteurs que le volume brut d’événements. Il reste une mesure d’adresse, pas un nom ni l’identité confirmée d’un appareil.

Le calcul prouve que les ensembles de capteurs se recoupent. Il donne même un plancher : une adresse peut apparaître sur six capteurs au maximum et produire cinq présences supplémentaires ; les 14 341 excédents exigent donc au moins 2 869 adresses distinctes observées plusieurs fois. Le nombre exact reste inconnu. Le rapport ne dit pas quelles paires se recoupent le plus ni quelle part est commune à Cowrie et OpenCanary.

Pour les équipes réseau, la question est concrète : les mêmes adresses passent-elles de l’accès SSH aux services RDP ou Web, ou chaque leurre observe-t-il surtout une population différente ? Des intersections agrégées aideraient à relier les observations qui le méritent, puis à décider où creuser. Elles ne prouveraient ni l’identité d’un acteur ni l’existence d’une campagne coordonnée.

Dans son prochain bilan, APNIC peut publier le total unique, la répartition des adresses vues par un, deux, trois ou plusieurs capteurs, et les 15 intersections par paires. Des agrégats suffisent ; les adresses brutes peuvent rester privées. Le tableau contient déjà l’indice. Il ne devrait pas falloir refaire l’addition pour le trouver.

Sources

APNIC : Une semaine dans le honeynet d’APNIC — 99 000 adresses IP et 173 millions d’événements · Projet communautaire APNIC Honeynet