Кратко

  • Число событий измеряет интенсивность, число уникальных IP — широту источников.
  • Сумма показателей отдельных датчиков выше сетевого итога: один адрес может попасть в несколько наблюдений.

У OpenCanary для RDP обнаружились 6 637 IP и 25,6 миллиона попыток соединения за неделю — примерно 3 900 на адрес. Один бот, который возвращается тысячи раз, создаёт совсем иную нагрузку, чем тысячи источников с единственным визитом. Поэтому APNIC считает и строки событий, и уникальные адреса: первое показывает настойчивость, второе — охват.

Дальше начинается арифметика перекрёстного наблюдения. Cowrie, имитирующая SSH и Telnet, увидела 72 256 IP и 121,1 миллиона событий; OpenCanary — 14 393 IP и 34,5 миллиона событий. Сумма показателей шести датчиков — 113 299, а после сетевой дедупликации остаётся 98 958 уникальных адресов. Разница в 14 341 — дополнительные появления пар «датчик–IP», убранные при сведении показаний. Это не число адресов, замеченных несколькими датчиками: агрегаты не раскрывают такую матрицу. По той же причине опубликованные доли сенсоров в сумме дают 115%.

Региональная карта тоже отвечает на вопрос о сети, а не о людях за клавиатурами. APNIC пишет, что распределение по регионам RIR показывает расположение скомпрометированных устройств и сканирующей инфраструктуры. Для реагирования на инциденты и обмена сигналами организация предлагает группировку по ASN; разбивка по экономикам помогает взаимодействовать с национальными CERT. Карта здесь — маршрут к исправлению, не доска розыска.

Нормирование по источникам меняет рейтинг датчиков. В среднем OpenCanary зарегистрировала около 2 400 событий на IP против примерно 1 700 у Cowrie, хотя Cowrie увидела гораздо больше разных адресов. Внутри OpenCanary RDP оказался ещё настойчивее: около 3 900 попыток на адрес; у VNC — примерно 1 320. Один счётчик показывает, сколько систем дошло до датчика, другой — насколько шумно они работали. Для дежурной команды это разные очереди работ, а для руководителя — разные поводы спросить, что именно измеряет панель.

Источники