Кратко

  • LightScope ставит датчик на свободные TCP-порты рабочих серверов. В дополнительном режиме ловушки выбранные соединения уходят на отдельную машину.
  • На RIPE 93 Капитански показал, что сканеры по-разному выбирают действующие узлы. Официальная запись исследования описывает два месяца данных с 235 установок.

Разбор

Сканирование пустого адреса отвечает на простой вопрос: кто постучал туда, где не работает сервис? Для действующего сервера вопрос другой: какую машину выбрал сканер и что он пробует после первого пакета? LightScope Эрика Капитански измеряет именно этот переход.

Пустое адресное пространство долго служило интернет-телескопом для сканирований. Но по мере дефицита IPv4 таких адресов становится меньше. Сканер может вести себя иначе в пустом диапазоне, чем рядом с сервером, который обслуживает пользователей. LightScope переносит точку наблюдения на такой сервер и оставляет трафик его работающих сервисов вне сбора.

Система использует свободные TCP-порты. В пассивном режиме она записывает входящий SYN на неиспользуемом порту. В режиме ловушки оператор выбирает несколько свободных портов — по словам Капитански, обычно от 10 до 26 — а программа перенаправляет соединения на удалённую ловушку. Рабочий сервер служит входом и ретранслятором; сам сервис-приманка работает на другой машине.

Это разделение оставляет обращения к настоящим сервисам вне измерения. Если сканер продолжает через выбранный свободный порт, удалённая ловушка фиксирует следующий шаг: попытки входа и команды, направленные приманке. Так исследователь видит поведение возле действующего узла, не превращая его основной сервис в объект эксперимента.

В официальной записи статьи для Internet Measurement Conference 2026 описаны два месяца наблюдений на 235 установках LightScope. В докладе на RIPE 93 Капитански показал, как сканеры меняли поведение от одного рабочего узла к другому, включая серверы в одной сети. Общий обзор мог обнаружить сканер, но не показать, какой действующий сервер он выберет для следующей попытки.

Положение датчика — часть измерения. Пустой адрес показывает контур сканирования; свободный порт на рабочем сервере показывает выбор конкретных узлов; удалённая ловушка записывает то, что происходит после соединения. Это разные этапы. Число SYN и число попыток входа не должны сливаться в один счётчик.

Капитански сказал, что среди установок преобладали американские образовательные сети; более широкий состав операторов и регионов изменил бы границы обобщения результата. В докладе названы ещё два ограничения: LightScope не собирает UDP и не поддерживает обратный трафик-отражение. Одна TCP-картина не охватывает все способы сканирования.

Решение оператора предельно практично: какие свободные порты превратить в датчики, какие разрешить перенаправлять, кто читает журналы ловушки и сколько хранить попытки учётных данных и команды? Свободный порт становится точкой наблюдения, а значит, у его данных должны появиться владелец и срок хранения.

Источники