Honeynet da APNIC revela ao menos 2.869 IPs repetidos

Resumo

As seis contagens de IPs de origem da APNIC somam 113.299 registros; a linha “All honeypots” informa 98.958 endereços únicos. Os 14.341 registros excedentes implicam ao menos 2.869 IPs distintos observados em vários sensores.
As parcelas arredondadas chegam a 115%, mas o relatório não mostra quais sensores compartilham endereços. A tabela mede cada porta; deixa o cruzamento fora do quadro.

A conta passa de 100% — e aí está a história

Entre 21 e 27 de setembro de 2026, o Honeynet reconstruído da APNIC recebeu conexões de 98.958 IPs de origem únicos. A Tabela 1 separa seis sensores: Cowrie registrou 72.256 endereços; Dionaea, 21.210; OpenCanary, 14.393; Fortinet, 1.876; ADBHoney, 1.841; e Webpot, 1.723. A soma dá 113.299.

São 14.341 registros endereço-sensor além da quantidade de IPs distintos. As participações publicadas — 73%, 21%, 15%, 2%, 2% e 2% — totalizam 115%. Com os números inteiros, sem somar percentuais arredondados, as linhas equivalem a 114,49% do total único.

Não há erro na soma. Há duas formas de contar no mesmo quadro. Cada linha mostra o conjunto de IPs visto por um sensor; “All honeypots” mostra a união deduplicada dos seis conjuntos. Um endereço que chega a Cowrie e OpenCanary entra nas duas linhas, mas só uma vez no total. Se chega a três sensores, acrescenta duas ocorrências à diferença.

Essa diferença ainda permite calcular um piso. Um endereço pode aparecer em no máximo seis sensores, então cada IP repetido acrescenta até cinco registros além do primeiro. Dividindo 14.341 por cinco e arredondando para cima, pelo menos 2.869 IPs distintos passaram por mais de um sensor. Se cada repetição envolveu exatamente dois sensores, o número pode chegar a 14.341. A APNIC não informa o valor exato nem publica uma matriz das interseções.

Os sensores representam portas diferentes. Cowrie simula SSH e Telnet; OpenCanary inclui RDP e bancos de dados; Webpot imita aplicações web; Fortinet apresenta um portal de SSL-VPN. As marginais respondem quantos endereços chegaram a cada isca. Não dizem se o mesmo IP também apareceu em outro serviço durante a semana.

A APNIC prefere IPs de origem ao volume bruto de eventos. Foram 173 milhões de eventos em sete dias; um bot pode produzir milhões de linhas de log e outra fonte pode conectar uma única vez. Essa escolha tira o peso da repetição dentro de um só sensor. Mas endereço continua sendo a unidade: a tabela não tem uma coluna de dispositivo ou de pessoa. A contagem não transforma IPs em um cadastro de operadores distintos.

Para quem opera uma rede, o cruzamento pode mudar a ordem da investigação. Um endereço que procura vários tipos de serviço talvez mereça que as observações sejam correlacionadas; fontes vistas só em uma isca podem ficar numa fila mais específica. “Talvez” é o limite que os dados permitem. Os 14.341 excedentes medem aparições além da primeira, não o número exato de IPs repetidos e muito menos uma campanha coordenada.

O próximo relatório pode mostrar quantos endereços apareceram em um, dois, três ou mais sensores e as 15 interseções entre pares. Uma nota sobre normalização de IPs e janela de coleta fecharia a conta. Os endereços brutos podem continuar privados. A APNIC diz que ainda é cedo para uma análise detalhada da rede reconstruída; não é cedo para mostrar que os totais por sensor se cruzam. Coloque o total deduplicado, as aparições e a distribuição lado a lado. Assim, uma porcentagem de 115% deixa de parecer uma tabela mal fechada e vira uma medida que operadores podem usar.