Кратко

  • В программе APNIC 62 сессия названа «1.27M Attacks in 204 Days», аннотация говорит об «attack events», а слайды показывают ровно 1 272 286 «Total Events».
  • Наблюдение велось одним сенсором на одном публичном IP с намеренно открытыми SSH и Telnet. Это не подсчёт всех атак в Азиатско-Тихоокеанском регионе.
  • Таблица сигнатур содержит 198 973 события успешного SSH-входа, а воронка по уникальным IP — 4 530 адресов на той же стадии.
  • Каждому показателю нужна карточка измерения: сенсоры, сервисы, период, тип события, правило критичности, ключ дедупликации и единица.

У одного числа оказалось три названия

Заголовок в программе APNIC сообщает о 1,27 млн атак за 204 дня на площадке Университета Дакки. В аннотации это уже 1,27 млн событий атаки. Титульный слайд говорит лишь о событиях, а панель даёт точное значение — 1 272 286.

Это не спор о стиле. Событие обычно означает запись, созданную сенсором или правилом. «Событие атаки» добавляет классификацию. «Атака» для обычного читателя похожа на отдельное действие или инцидент. Понятия связаны, но не обязаны иметь одинаковый счётчик.

Граница эксперимента описана конкретно: одна виртуальная машина Ubuntu, одно ядро, 2 ГБ памяти, 20 ГБ для журналов и выделенный публичный IP. Были открыты порт 22 для SSH и порт 23 для Telnet; входящий трафик разрешили намеренно.

Именно узость делает honeynet полезной. Она подробно показывает, что делают автоматические сканеры и интерактивные сессии, когда видят два знакомых сервиса-приманки. Но она не представляет всю сеть университета, Бангладеш или регион APNIC.

198 973 события и 4 530 адресов отвечают на разные вопросы

Одна страница наглядно показывает смену знаменателя. Справа таблица сигнатур насчитывает 198 973 события «SSH login successful». Слева воронка с пометкой «Unique IPs» показывает 4 530 успешных входов. Вероятно, первое число суммирует повторы, а второе дедуплицирует исходные адреса, однако опубликованной схемы недостаточно, чтобы воспроизвести соединение данных.

Получается около 44 успешных событий на исходный IP, дошедший до этой стадии. Объём событий описывает давление и повторяемость. Число IP описывает охват адресов при заданных окне и ключе. Ни один показатель не устанавливает число людей, организаций или кампаний.

Исходный IP может принадлежать заражённому устройству, прокси, ретранслятору, общей инфраструктуре или NAT-шлюзу; его назначение может измениться. Один оператор способен использовать много адресов, а много операторов — выглядеть как один. Поэтому 36 598 адресов не доказывают существование 36 598 уникальных людей-атакующих.

Другие плитки требуют той же точности. 78 411 уникальных паролей — это строки, введённые в приманку, а не учётные записи. 7 107 имён пользователя — не подтверждённые личности. Загрузки вредоносных файлов, команды, C2-адреса и автономные системы тоже имеют собственные единицы.

Успешный вход в приманку не равен взлому рабочего сервера

Honeypot создают, чтобы принимать, наблюдать и изолировать поведение, которое рабочий сервис должен отвергать. Принятый вход означает, что сессия прошла правила сенсора. Он сам по себе не доказывает компрометацию рабочего сервера университета.

Дальнейшие действия важны: презентация фиксирует выполнение команд, загрузки и попытки закрепления. Их защитная ценность заключена в последовательности — соединение, аутентификация, принятая сессия-приманка, команда, полезная нагрузка. Если назвать всё это числом успешных взломов, нужная структура исчезнет.

Распределение по протоколам сходится: 1 016 974 события SSH плюс 255 312 события Telnet дают ровно 1 272 286. Восемь показанных строк сигнатур суммируются до 1 272 287 — на одну больше. Слайды не объясняют, пересекаются ли категории, есть ли опечатка или действует другой фильтр. Достоверно можно зафиксировать только отсутствие публичной сверки, а не причину.

К результату следует приложить карточку измерения

Для каждого числа достаточно указать набор сенсоров и сервисов, точные даты, тип события, правило критичности, ключ дедупликации, единицу и ограничения идентификации по IP. Для воронки нужны условия перехода между стадиями; для сигнатур — признак взаимоисключения категорий и сверка с итогом.

Такая карточка — редакционное предложение Theo March, а не требование APNIC или Университета Дакки. Она не требует раскрывать чувствительные нагрузки. Зато отделяет давление от охвата, адрес от действующего лица и вход в приманку от компрометации рабочего сервиса.

Что подтверждают источники и чего они не подтверждают

Программа и презентация APNIC подтверждают название сессии, схему сенсора и показанные числа. Страницы проекта объясняют сбор подозрительного трафика, вредоносных программ и шаблонов атак с помощью honeypot-сенсоров. Они не подтверждают число людей, инцидентов или кампаний, страновую атрибуцию, региональную распространённость либо взлом рабочего сервера; разница в одну запись тоже не объяснена.

Источники