Résumé

  • Du 21 au 27 septembre 2026, APNIC a relevé 173 millions d’événements provenant de 98 958 adresses IP distinctes.
  • Les totaux propres aux six capteurs atteignent 113 299 occurrences IP ; la déduplication entre capteurs en retire 14 341.

Un tableau de sécurité peut afficher à la fois un chiffre spectaculaire et un chiffre plus utile. Le honeynet d’APNIC a enregistré 173 millions d’événements provenant de 98 958 adresses IP sources distinctes entre le 21 et le 27 septembre 2026. Le premier chiffre compte l’activité. Le second compte les adresses qui ont atteint les capteurs. Ils ne se disputent pas le titre de « vrai total » : ils répondent à deux questions différentes.

La carte régionale appelle la même précision. APNIC indique que sa vue par région de RIR situe les appareils compromis et l’infrastructure de balayage, pas la personne qui les pilote. Pour la réponse aux incidents et le partage d’informations, l’analyse passe aux numéros d’AS ; une lecture par économie peut servir au travail avec les CERT nationaux. La carte aide à organiser la remédiation ; elle ne désigne pas un suspect.

Le tableau par capteur ajoute une troisième lecture. Cowrie, qui imite des services SSH et Telnet, a vu 72 256 IP et 121,1 millions d’événements. OpenCanary en a relevé 14 393 et 34,5 millions. Additionnez les six nombres d’IP des capteurs : 113 299. APNIC donne 98 958 adresses uniques sur l’ensemble du honeynet. L’écart de 14 341 correspond aux occurrences capteur-adresse qui disparaissent lorsque la même IP est dédupliquée entre capteurs. C’est l’empreinte arithmétique du chevauchement, pas un décompte d’adresses chevauchantes distinctes.

Même les parts affichées totalisent 115 %, puisqu’une même source peut apparaître dans plusieurs capteurs.

Le résultat RDP d’OpenCanary montre le caractère du compteur d’événements : 6 637 IP ont produit 25,6 millions de tentatives de connexion en une semaine, soit environ 3 900 par IP. Le nombre d’adresses mesure l’étendue ; les tentatives mesurent l’insistance et la charge. Un bot qui revient des milliers de fois pose un problème d’exploitation différent de milliers de sources qui ne passent qu’une fois. APNIC explique compter les IP uniques parce qu’un seul bot peut créer des millions de lignes de journal alors qu’un autre système ne se connecte qu’une fois.

APNIC a lancé son honeynet communautaire en 2019 pour mieux voir l’activité dirigée contre les réseaux d’Asie-Pacifique. Le projet relie ces observations aux outils des membres, dont DASH, et au partage d’informations de sécurité. La valeur du rapport se trouve dans cette chaîne : observer un service, compter la bonne unité, établir le contexte réseau, puis décider où la remédiation doit avoir lieu.

Sources