Resumo

  • De 21 a 27 de setembro de 2026, a APNIC registrou 173 milhões de eventos de 98.958 endereços IP de origem distintos.
  • Os seis subtotais por sensor somam 113.299 ocorrências; a deduplicação entre sensores elimina 14.341 aparições repetidas de sensor-IP.

Um painel de segurança pode exibir um número enorme e outro bem mais útil na mesma semana. O honeynet da APNIC registrou 173 milhões de eventos de 98.958 endereços IP de origem distintos entre 21 e 27 de setembro de 2026. O primeiro número mede atividade. O segundo conta endereços que alcançaram os sensores. Eles não disputam o posto de “total verdadeiro”; respondem a perguntas diferentes.

O dado de RDP do OpenCanary mostra o temperamento do contador de eventos: 6.637 IPs fizeram 25,6 milhões de tentativas de conexão em uma semana, cerca de 3.900 por IP. A contagem de endereços mostra alcance; as tentativas revelam persistência e carga. Um bot que volta milhares de vezes cria um problema operacional diferente de milhares de fontes que aparecem uma vez. A APNIC explica que conta IPs únicos porque um bot pode gerar milhões de linhas de log, enquanto outro sistema se conecta uma única vez.

A APNIC lançou o Community Honeynet em 2019 para ampliar a visibilidade de atividades contra redes da Ásia-Pacífico. A descrição do projeto liga essas observações a ferramentas para membros, como o DASH, e ao compartilhamento de informações de segurança. O relatório vale por essa sequência operacional: observar um serviço, contar a unidade certa, entender o contexto da rede e decidir onde agir.

A tabela por sensor acrescenta uma terceira leitura. O Cowrie, que simula serviços SSH e Telnet, viu 72.256 IPs e 121,1 milhões de eventos. O OpenCanary registrou 14.393 IPs e 34,5 milhões de eventos. Some os seis números de IP por sensor: 113.299. A APNIC informa 98.958 endereços únicos em toda a rede. A diferença de 14.341 são ocorrências sensor-IP que desaparecem quando o mesmo endereço é deduplicado entre sensores. É a marca matemática da sobreposição, não a quantidade de endereços distintos que se repetiram. Até as participações exibidas somam 115%, porque uma fonte pode aparecer em mais de um sensor.

O mapa regional pede a mesma precisão. Segundo a APNIC, a distribuição por região de RIR mostra onde estão dispositivos comprometidos e infraestrutura de varredura, não onde está fisicamente a pessoa que os controla. Para resposta a incidentes e compartilhamento de informações, a análise passa ao ASN; a visão por economia pode apoiar o trabalho com CERTs nacionais. O mapa serve para planejar a remediação, não para montar um mural de suspeitos.

Fontes