Кратко

  • LightScope ставит датчики на закрытые порты рабочих серверов и передаёт выбранные обращения удалённой приманке. В докладе на RIPE 93 описаны два месяца наблюдений с 235 установок: 64 686 исходных адресов сканеров не встречались на точках, с которыми авторы сравнивали результат.
  • Сайт проекта обещает автоматические жалобы провайдерам и персональные списки блокировки IP. Там же авторы предупреждают: запись IP, домена или ASN не устанавливает ни отправителя, ни владельца, ни виновного. Между наблюдением и обвинением должен быть виден тот, кто принимает решение.

Рабочий сервер получил подработку

Обычный производственный сервер занят пользователями. LightScope, представленный на RIPE 93, предлагает ему ещё и следить за дверями, в которые никто не должен стучать, — закрытыми портами. Клиент видит трафик на уровне L4 и может направить выбранное взаимодействие к удалённой ловушке уровня L7. Ловушка стоит в стороне. Датчик находится на настоящей машине рядом с настоящими сервисами. Для сканера такой адрес может выглядеть иначе, чем отдельный сервер с табличкой «эксперимент».

Авторы доклада изучили два месяца данных с 235 установок. За это время они увидели 64 686 адресов источника сканирования, не замеченных на использованных для сравнения пунктах наблюдения. Это мера дополнительного охвата именно в этом опыте. Она не равна числу 64 686 установленных злоумышленников: один адрес может обслуживать многих, меняться или подделываться. Страница проекта с библиографией указывает оригинальную работу Эрика Капитански и Елены Миркович для ACM IMC 2026. Описанные здесь операции сверены с открытым тезисом RIPE и первичными материалами авторов.

Самый интересный переход — от глагола «увидели» к глаголу «сообщили». Сайт LightScope заявляет, что автоматически сообщает провайдерам об «атакующих» и формирует для участников персональные списки блокировки IP. Жалоба может попасть в отдел реагирования; список может стать правилом межсетевого экрана. На просмотренных публичных страницах нет подтверждённого числа отправленных жалоб, применённых блокировок, точного порога классификации или понятного способа оспорить ошибочное обозначение. Эти пропуски важнее красивой статистики источников.

Ответы проекта на вопросы очерчивают границу сбора: трафик к открытым сервисным портам исключается, закрытые порты наблюдаются. Сохраняются IP источника, время и поля заголовков; адрес назначения участников последовательно рандомизируется. Собираются также отдельные сведения о системе и классификации сети. Страница сообщает об освобождении исследования от процедуры этической экспертизы USC под номером UP-25-00124. Это описание сбора и защиты данных. Оно не определяет, в какой момент источник пакета становится предметом обвинения.

Инструкция по установке показывает, что решение принимается и на стороне владельца сервера. Быстрый запуск в Docker использует сеть хоста и возможности NET_RAW, NET_ADMIN. Для пакета Linux предусмотрен отдельный пользователь без общих привилегий, но с нужными сетевыми возможностями и автозапуском службы. Организация выбирает место датчика, права, обновления и выключатель. Удалённость ловушки не делает эти решения удалёнными.

Предупреждение из набора данных должно ездить с жалобой

Оригинальная страница набора предлагает выпуск объёмом 27 ГБ для IMC 2026 и объясняет поля поиска. На той же странице прямо сказано: наличие в записи IP, домена или ASN не доказывает, что конкретный человек либо организация отправили трафик, владеют им или несут за него ответственность. Возможны подмена источника, отравленные базы, ошибки сторонних метаданных и программные дефекты. Замечание предельно предметное. Если на его основе создают жалобу или запись в блоклисте, оно должно сопровождать результат, а не оставаться у кнопки загрузки.

Проверяемая цепочка начинается с пакета и времени, затем показывает правило отнесения и подтверждающие сведения, а после — сообщение, с которым адресат может работать самостоятельно. При блокировке нужны имя принимающего решение, сработавшее правило, срок и путь исправления. Строка базы не превращается в обвиняемого от того, что панель окрасилась в красный цвет.

Заметка Heng Lu №73 спрашивает, в какой момент участие принимают за полномочие. Оператор даёт точку обзора. Исследователи толкуют собранные наблюдения. Провайдер, получивший жалобу, и администратор, применивший список, принимают разные решения. Владелец адреса может быть четвёртой стороной. Доклад RIPE показывает пользу дополнительного зрения. Тем важнее знать, кто отвечает за превращение увиденного в действие.