Кратко

  • 9 сентября исследователи представили в Routing Security SIG на APNIC 62 региональный срез однократного IPv4-сканирования от 2 февраля 2026 года: 4 611 открытых BGP-маршрутизаторов в 1 343 AS, включая 347 устройств, отнесённых к пограничным.
  • В работе «открытый» означает, что произвольный источник в интернете завершил TCP-соединение на порту 179 и получил BGP-ответ в незапрошенном обмене OPEN. Это не доказательство эксплуатации или компрометации.
  • Результат — датированная оценка, а не текущая перепись реестра. Измерение велось только по IPv4 из одной европейской точки, а общедоступной достоверной базы для проверки каждого объединения маршрутизаторов и ASN нет.
  • Следующим шагом должна стать не публикация целей, а закрытая передача доказательств, зафиксированное решение оператора и повторное измерение в сопоставимых условиях с обезличенной сводкой.

Ответ протокола, а не только открытый порт

Успешное TCP-соединение мало говорит об устройстве. Scan-179 сделал ещё один шаг: после ответа на порту 179 инструмент отправлял стандартное сообщение BGP OPEN и анализировал реакцию. Открытым авторы считают маршрутизатор, доступный с произвольного интернет-адреса и обрабатывающий такой незапрошенный обмен.

До полной установки сессии ответ может раскрыть ASN, идентификатор BGP и поддерживаемые возможности. Плоскость управления также тратит ресурсы на соединение и состояние. RFC 7454 рекомендует отбрасывать трафик к TCP-порту 179 от адресов, которые не являются известными или разрешёнными BGP-соседями, используя отдельный фильтр плоскости управления, если платформа это позволяет.

На этом доказательство заканчивается. OPEN-ответ не подтверждает эксплуатацию ошибки, длительную сессию, изменение маршрута, отказ или ущерб. В статье утечка информации, ошибки реализации и истощение ресурсов названы возможными рисками, но их наступление в выборке APNIC не установлено.

4 611 — модель измерения, а не реестр оборудования

В мировом наборе 141 313 IPv4-адресов приняли TCP и обменялись OPEN. Команда сгруппировала интерфейсы в 20 432 маршрутизатора, связанные с 4 194 AS: 1 127 пограничных, 16 124 внутренних и 3 181 неклассифицированный.

Материалы APNIC 62 выделяют 4 611 маршрутизаторов, 1 343 AS и 347 пограничных устройств в регионе. Диаграмма по странам считает автономные системы, не маршрутизаторы: Индонезия — 387, Бангладеш — 209, Япония — 115, Индия — 92. Далее следуют Гонконг, Австралия, Китай, Южная Корея, Непал и Тайвань. Это распределение по методике авторов, а не рейтинг небрежности операторов.

Метод соединяет идентификатор BGP, ASN из OPEN и привязку интерфейса к AS. Частные ASN, общая адресация и адреса межсетевых линий, выделенные одной стороной, создают неоднозначность. Устройство с публичным ASN и интерфейсами из одной AS может быть внутренним либо пограничным. Поэтому сохранена категория неопределённых устройств.

Исследователи исключили 1 627 вероятных ловушек: ответы копировали ASN и BGP-идентификатор сканера, адреса открывали множество портов и имели метку honeypot в Shodan. Это убирает заметный класс ложных результатов, но не создаёт достоверную инвентаризацию оставшихся устройств.

Февральский снимок не равен сентябрьскому состоянию

Сканирование прошло один раз 2 февраля, только по IPv4 и из одной точки в Европе. Видимость зависит от источника, пути, времени, обслуживания и политики устройства. Маршрутизатор, замеченный тогда, мог быть закрыт; устройство с фильтром для данного источника могло вообще не попасть в набор.

Сентябрьская новость — региональная презентация на APNIC 62, а не новое сканирование. APNIC не выполнял измерение и не управляет этими маршрутизаторами. Форум полезен как место встречи исследователей с операторами, которые могут объяснить или изменить настройки.

Опубликованных объяснений пока мало. Авторы связались с двенадцатью операторами. Один подтвердил привязку IP к AS, но счёл стандартное поведение BGP достаточной защитой порта. Возможными причинами также названы сложные инструкции производителей и ограничения ПО. Один ответ не объясняет остальные случаи, а молчание не доказывает нарушение.

Учёт начинается там, где заканчивается обнаружение

Адресные данные следует хранить закрыто. Карточка случая может содержать время и точку измерения, версию зонда, классы TCP- и BGP-ответа, способ и уверенность привязки интерфейса к маршрутизатору и AS. Затем фиксируются ответственный контакт, время доставки и исправления атрибуции.

Решение оператора отделяет намерение от дефекта: осознанное ограниченное исключение; устаревший ACL; ошибка фильтра; неподдерживаемая платформа; выведенный интерфейс; неверная привязка; иная подтверждённая причина. Если требуется изменение, нужны владелец и срок. Повторный тест должен сохранять условия и добавлять вторую точку при фильтрации по источнику.

Публично достаточно версионированных итогов: доставленные уведомления, подтверждения, решения, исправленные привязки, закрытые случаи и ожидаемые проверки. Так крупное число превращается в проверяемую работу, а не в справочник для разведки.

Источники