APNIC 허니팟 표가 드러낸 최소 2,869개 중복 IP

요약

APNIC의 센서별 출처 IP 여섯 행을 합치면 113,299건이다. 전체 고유 IP 행은 98,958개다. 14,341건의 초과 기록을 만들려면 최소 2,869개의 서로 다른 IP가 여러 센서에 나타났어야 한다.
반올림한 센서별 비율은 115%가 되지만, 보고서에는 센서 간 교집합이 없다. 어느 입구가 바쁜지는 보여도 같은 주소가 다른 입구에도 왔는지는 보이지 않는다.

115%는 표가 말해주지 않은 측정값이다

APNIC이 재구축한 Honeynet은 2026년 9월 21일부터 27일까지 고유 출처 IP 98,958개를 관측했다. 표 1은 여섯 센서의 숫자를 따로 제시한다. Cowrie 72,256개, Dionaea 21,210개, OpenCanary 14,393개, Fortinet 1,876개, ADBHoney 1,841개, Webpot 1,723개다. 합계는 113,299건이다.

고유 IP 전체보다 14,341건 더 많다. 표에 적힌 비중 73%, 21%, 15%, 2%, 2%, 2%를 더하면 115%다. 반올림 전 개수로 계산해도 센서 행 합계는 고유 IP 총량의 114.49%다.

계산 오류가 아니다. 센서별 행은 각 센서에 도달한 주소 집합을 세고, “All honeypots”는 여섯 집합을 합친 뒤 중복을 뺀다. 한 IP가 Cowrie와 OpenCanary에 모두 오면 센서별 행에는 두 번, 전체 집계에는 한 번 들어간다. 세 센서에 닿은 주소는 초과 기록 두 건을 만든다.

차이에서 반복 IP의 하한도 계산할 수 있다. 주소 하나가 등장할 수 있는 센서는 최대 여섯 개라, 한 주소가 만들 수 있는 추가 기록은 다섯 건이다. 14,341을 5로 나눈 뒤 올림하면 최소 2,869개의 서로 다른 IP가 여러 센서에 기록돼야 한다. 각 주소가 정확히 두 센서에서만 보였다면 최대 14,341개까지 가능하다. APNIC은 정확한 반복 주소 수나 센서별 교차표를 공개하지 않았다.

센서는 서비스 유형도 다르다. Cowrie는 SSH와 Telnet을 모방하고, OpenCanary에는 RDP와 데이터베이스가 포함되며, Webpot은 웹 애플리케이션을 흉내 낸다. Fortinet 센서는 SSL-VPN 포털처럼 보이도록 구성됐다. 각 수치는 “이 센서에 몇 개의 출처 IP가 왔는가”에 답한다. 같은 주소가 같은 주에 다른 서비스에도 나타났는지는 답하지 않는다.

APNIC은 이벤트 수 대신 출처 IP를 세기로 했다. 그 주 센서 로그는 1억 7,300만 건이었다. 한 봇이 로그 수백만 줄을 만들고 다른 출처는 한 번만 접속할 수도 있다. IP 집계는 한 출처의 반복을 수백만 개 관측처럼 보이게 하지 않는다. 그래도 단위는 주소다. 표에는 장치나 사람을 식별하는 열이 없고, 이 숫자를 독립된 운영자 수로 바꿔 읽을 근거도 없다.

네트워크 보안팀에게 주소의 재등장은 조사 순서를 바꿀 수 있다. 여러 센서에 나타난 주소는 관측값을 함께 살펴볼 이유가 된다. 반대로 각 센서가 대부분 다른 주소를 본다면 대응은 서비스별로 남을 수 있다. 현재의 센서별 주변값만으로는 어느 쪽인지 고를 수 없다. 14,341은 첫 등장 뒤에 더해진 센서 기록 수이지, 반복된 IP의 정확한 수나 하나의 캠페인 규모가 아니다.

다음 보고서에는 센서 하나, 둘, 셋 이상에서 관측된 주소 수와 여섯 센서 사이의 15개 쌍별 교집합을 담으면 된다. 출처 IP 정규화 방식과 관측 기간도 밝혀야 한다. 원시 주소를 공개할 필요는 없다. APNIC은 재구축된 네트워크를 자세히 분석하기엔 이르다고 썼다. 그래도 다음에 무엇을 측정해야 하는지는 분명하다. 전체 고유 IP, 센서별 기록 합계, 교차 분포를 한 화면에 놓으면 독자는 115%를 보고 통계 규칙을 추측할 필요가 없다.