要約

  • 2026年9月21日から27日までに、APNICは98,958の送信元IPから1億7300万件のイベントを記録した。
  • 六つのセンサー別IP数は合計113,299件。同じIPのセンサー間重複を除くと、14,341件分の出現が消える。

OpenCanaryのRDP結果は、イベント数の癖をよく表している。6,637 IPが一週間で2560万回の接続を試み、1 IPあたり約3,900回に達した。送信元アドレス数が示すのは広がり、試行回数が示すのは粘り強さと負荷だ。何千回も戻ってくるボットと、一度だけ現れる何千もの送信元では、運用上の課題が違う。APNICは、一つのボットが何百万行ものログを作り、別のシステムは一度接続するだけの場合があるため、ユニークIPで数えると説明している。

セキュリティのダッシュボードには、同じ週に「とても大きな数字」と「より役に立つ数字」が並ぶことがある。APNICのHoneynetは2026年9月21日から27日までに、98,958の異なる送信元IPから1億7300万件のイベントを記録した。前者は活動量、後者はセンサーに届いたアドレスの数だ。どちらかが誤った総数なのではない。測っている対象が違う。

センサー別の表を見ると、もう一つ数字が現れる。SSHとTelnetを模したCowrieは72,256 IPから1億2110万件のイベントを観測した。OpenCanaryは14,393 IP、3450万件だった。六つのセンサーのIP数を足すと113,299。APNICが示す全体のユニークIPは98,958だ。差の14,341は、センサーをまたいで同じIPを重複排除した際に消える「センサーとIPの出現回数」である。重複したIPアドレスそのものの個数ではなく、重なりが集計に残した足跡だ。表示されたセンサー別の割合が合計115%になるのも、同じ送信元が複数のセンサーに現れるためだ。

APNICはアジア太平洋のネットワークを狙う活動の可視性を高めるため、2019年にCommunity Honeynetを始めた。プロジェクトの説明では、DASHなどの会員向けツールやセキュリティ情報共有に観測結果をつないでいる。報告の価値はその運用経路にある。サービスを観測し、適切な単位で数え、ネットワークの文脈を加え、修復すべき場所を決める。

地域図も同じ精度で読む必要がある。APNICによれば、RIR地域別の分布が示すのは感染端末やスキャン基盤の場所であり、操作する人の物理的な所在地ではない。インシデント対応や脅威情報共有ではASN単位に、各国のCERTと協力する際には経済圏単位に分析を進める。地域図は修復先を探すためのもので、容疑者を並べる掲示板ではない。

出典