APNICのハニーポット表が示す最低2,869件のIP重複

要約

APNICの6センサーを個別に数えた送信元IPは計113,299件。全体のユニークIPは98,958件で、差し引くと14,341件の重複記録がある。少なくとも2,869の異なるIPが複数センサーに現れた計算だ。
表示されたセンサー別割合は合計115％。それでも、どのセンサー同士で同じ送信元が重なったかは公表されていない。

115％は、表が隠した測定結果だ

APNICが再構築したHoneynetは、2026年9月21日から27日までに98,958のユニークな送信元IPを観測した。表1のセンサー別内訳は、Cowrieが72,256、Dionaeaが21,210、OpenCanaryが14,393、Fortinetが1,876、ADBHoneyが1,841、Webpotが1,723。足し算の答えは113,299だ。

全体のユニークIP数より14,341件多い。各行に付いた73％、21％、15％、2％、2％、2％を合計すると115％になる。丸める前の件数で計算しても、行の合計は全体の114.49％だ。

間違いのように見えるが、数えているものが違う。センサー別の行は、それぞれの入口に来たIPの集合だ。最後の「All honeypots」は6つを重複排除した集合を数える。あるIPがCowrieとOpenCanaryの両方に届けば、個別行には2回、全体には1回載る。3つのセンサーに届けば、差分に2件加わる。

差分から重複IPの下限も出せる。1つのIPが現れるセンサーは最大6つなので、重複アドレス1つが生む超過記録は最大5件。14,341を5で割って切り上げると、少なくとも2,869の異なるIPが複数センサーに届いたことになる。すべてがちょうど2センサーに現れた場合、重複IPは14,341件まであり得る。APNICは正確な数も、センサー間の交差表も出していない。

この欠落は実務上の区別を曖昧にする。CowrieはSSHとTelnet、OpenCanaryはRDPやデータベース、WebpotはWebアプリケーション、FortinetはSSL-VPNを模す。個々の数字は「このセンサーに何件来たか」を示す。同じ送信元が別のサービスにも現れたのかは示さない。

APNICがイベント総数ではなく送信元IPを使うのには理由がある。1週間のログは1億7,300万件に達した。1つのボットが大量のログを作り、別の送信元は一度つなぐだけという差を、イベント数は見えにくくする。IP単位なら入口に届いたアドレスは比べやすい。それでもIPは記録のキーであって、人や機器の識別欄ではない。表の「攻撃者」という呼び方を、個別の運用者数として読むことはできない。

運用チームが知りたいのは、単なるセンサー順位ではない。同じ送信元が複数のサービス型センサーに現れれば、記録を相関させて調査を広げる判断材料になる。大半の送信元が一つのセンサーにしか現れないなら、対応を個別サービスに絞れる。今の表はその分岐を決める情報を持たない。14,341は初回記録を超えた所属数であり、重複IPの正確な数でも、連携した攻撃の規模でもない。

次の報告には、1、2、3つ以上のセンサーで観測されたIPの分布と、センサー6つからできる15組の二者間交差を載せればよい。送信元IPの正規化方法と観測期間も添える。生IPの公開は要らない。APNICは再構築直後で詳細分析には早いと書いたが、次に測るべきものはすでに見えている。115％を見た読者に足し算をやり直させず、全体数、延べ数、重複の分布を同じ画面に置けばいい。