APNIC 허니넷 1억 7,300만 건, IP 98,958개

요약

2026년 9월 21일부터 27일까지 APNIC은 98,958개의 서로 다른 출발지 IP에서 1억 7,300만 건의 이벤트를 기록했다.
여섯 센서의 IP 소계는 113,299건이다. 센서 전체에서 중복을 제거하면 14,341회의 센서-IP 출현이 사라진다.

보안 대시보드에는 한 주 동안 아주 큰 숫자와 훨씬 쓸모 있는 숫자가 나란히 올라올 수 있다. APNIC 허니넷은 2026년 9월 21일부터 27일까지 98,958개의 서로 다른 출발지 IP에서 1억 7,300만 건의 이벤트를 기록했다. 앞의 수치는 활동량, 뒤의 수치는 센서에 도달한 주소 수다. 둘은 같은 합계를 놓고 다투는 수치가 아니라 서로 다른 질문에 답한다.

지역별 지도도 정확하게 읽어야 한다. APNIC에 따르면 RIR 지역 분포는 감염된 기기와 스캔 인프라가 놓인 곳을 나타내며, 이를 조종하는 사람의 실제 위치를 보여주지 않는다. 사고 대응과 위협 정보 공유에서는 ASN 단위 분석으로 넘어가고, 국가 CERT와 협업할 때는 경제권 단위 자료가 도움이 된다. 지도는 복구 대상을 찾는 도구이지 용의자를 붙이는 게시판이 아니다.

OpenCanary의 RDP 결과는 이벤트 숫자의 성격을 잘 보여준다. IP 6,637개가 한 주 동안 연결을 2,560만 번 시도했다. IP 하나당 약 3,900회다. 출발지 주소 수는 범위를, 시도 횟수는 지속성과 부하를 보여준다. 수천 번 되돌아오는 봇 하나와 한 번씩 나타나는 수천 개 출발지는 운영상 다른 문제다. APNIC은 봇 하나가 로그 수백만 줄을 만들고 다른 시스템은 한 번만 접속할 수 있어 고유 출발지 IP를 센다고 설명한다.

센서별 표를 보면 세 번째 수치가 생긴다. SSH와 Telnet을 흉내 내는 Cowrie는 IP 72,256개와 이벤트 1억 2,110만 건을 기록했다. OpenCanary는 IP 14,393개와 이벤트 3,450만 건을 기록했다. 여섯 센서의 IP 수를 합하면 113,299개다. APNIC이 보고한 전체 고유 IP는 98,958개다. 차이인 14,341은 같은 주소를 센서 전체에서 중복 제거할 때 사라지는 추가 ‘센서-IP 출현’ 수다. 중복된 서로 다른 IP가 몇 개인지를 뜻하는 수가 아니라, 관측이 겹쳐 계산에 남긴 흔적이다. 하나의 출발지가 여러 센서에 잡힐 수 있어 표에 나온 비율 합도 115%가 된다.

APNIC은 아시아태평양 네트워크를 겨냥한 활동을 더 잘 파악하기 위해 2019년 Community Honeynet을 시작했다. 프로젝트 설명은 관측 결과를 DASH 같은 회원 도구와 보안 정보 공유로 연결한다. 보고서의 가치는 그 운영 경로에 있다. 서비스를 관측하고, 알맞은 단위로 세고, 네트워크 맥락을 더한 뒤, 어디를 복구할지 결정한다.