Honeynet APNIC: минимум 2 869 IP на нескольких датчиках

Кратко

Сумма шести строк APNIC по исходным IP — 113 299 записей; итоговая строка «All honeypots» содержит 98 958 уникальных адресов. Избыток в 14 341 повторное включение означает, что не менее 2 869 разных IP увидели несколько датчиков.
Округлённые доли по сенсорам складываются в 115%, но отчёт не показывает пересечения. Видно, у какой ловушки больше входов, но не видно, как часто одни и те же адреса заходили через другую.

Откуда взялись 115 процентов

С 21 по 27 сентября 2026 года обновлённая сеть Honeynet APNIC зарегистрировала 98 958 уникальных исходных IP-адресов. Таблица 1 делит их по шести датчикам: Cowrie — 72 256, Dionaea — 21 210, OpenCanary — 14 393, Fortinet — 1 876, ADBHoney — 1 841, Webpot — 1 723. Сумма — 113 299.

Это на 14 341 запись «адрес-датчик» больше числа уникальных адресов. Доли в таблице — 73%, 21%, 15%, 2%, 2% и 2% — дают 115%. Если делить точную сумму строк на общий уникальный итог, получится 114,49%.

Перед нами не ошибка сложения, а две разные единицы счёта. Строки описывают адреса, которые достигли каждого датчика по отдельности; строка «All honeypots» объединяет шесть наборов и убирает повторы. IP, попавший на Cowrie и OpenCanary, учитывается дважды в строках, но один раз в общем итоге. Если адрес дошёл до трёх сенсоров, он добавляет два повторных включения.

Из разницы можно получить и нижнюю границу. Один адрес может появиться максимум на шести датчиках, то есть добавить не более пяти записей сверх первого включения. 14 341, поделённое на пять с округлением вверх, даёт минимум 2 869 разных IP, замеченных несколькими сенсорами. Если каждый повторный адрес встретился ровно на двух, таких адресов может быть до 14 341. Точного количества и матрицы пересечений APNIC не публикует.

Эта недостающая часть важна для чтения результатов по службам. Cowrie имитирует SSH и Telnet; OpenCanary — в том числе RDP и базы данных; Webpot — веб-приложения; Fortinet — портал SSL-VPN. Раздельные числа отвечают на вопрос, сколько исходных адресов пришло к каждой приманке. Они не показывают, появлялся ли тот же адрес у другой службы на той же неделе.

APNIC выбрала исходный IP вместо количества событий. За неделю датчики записали 173 миллиона событий; один бот может породить миллионы строк, а другой источник подключиться один раз. Подсчёт адресов не позволяет шумному соединению выглядеть миллионами отдельных наблюдений. Но IP всё равно остаётся ключом наблюдения: в таблице нет поля устройства или человека. Количество адресов не превращается в перепись операторов.

Для команды безопасности повторное появление может изменить очередь расследования. Адрес на нескольких датчиках даёт повод связать наблюдения и проверить, есть ли общий повод действовать. Сам по себе он не доказывает кампанию. Если каждый датчик видит в основном разные источники, работа может остаться привязана к конкретной службе. Опубликованные маргинальные числа не позволяют выбрать между этими вариантами. 14 341 — число повторных включений после первого, а не точное количество повторившихся IP.

Следующий отчёт мог бы показать распределение адресов, замеченных одним, двумя, тремя или большим числом сенсоров, а также 15 попарных пересечений между шестью датчиками. Нужны и правила нормализации исходного IP, и границы окна наблюдения. Публиковать реальные адреса для этого не требуется. APNIC пишет, что обновлённую сеть ещё рано подробно анализировать; вопрос к следующей таблице уже ясен. Покажите уникальное объединение, число включений и распределение пересечений рядом — читателю не придётся выводить методику из заголовка про 115%.