摘要

  • Eric Kapitanski 的 LightScope 在生产主机的空闲 TCP 端口上放置传感器；可选蜜罐模式会把部分连接转发到另一台机器。
  • RIPE 93 的报告显示，扫描器会在不同的在线主机之间作出不同选择。官方论文记录显示，研究分析了 235 个部署点、为期两个月的数据。

分析

对一个没有运行服务的地址发起扫描，只能回答“谁敲了这扇空门”。换成正在服务的服务器，问题就变了：扫描器挑中哪台机器？它发出第一个包后还会试什么？Eric Kapitanski 做 LightScope，就是要把观察点挪到这个位置。

空闲地址空间曾是互联网测量的望远镜，但随着 IPv4 越来越稀缺，这类空间正在缩小。扫描器也可能把空地址段和正在服务的主机区别对待。LightScope 把传感器放在生产服务器上，却绕开该服务器正在运行的服务流量。

它使用空闲 TCP 端口。被动模式记录发往这类端口的 TCP SYN。可选蜜罐模式由运维人员挑出一组端口——Kapitanski 说，常见部署会选 10 至 26 个——软件接受连接后，把流量转到远端蜜罐。生产主机只是入口和转发点，蜜罐服务本身在另一台机器上。

这个边界很重要。用户访问真实服务的流量不进入采集路径；扫描器若继续连接某个已选端口，远端蜜罐才会记录它之后尝试的登录或命令。测量因此贴近在线服务器，又不会把它正在提供的服务变成实验对象。

USC/ISI 对 2026 年互联网测量会议论文的官方记录显示，研究分析了 235 个 LightScope 部署点、两个月的数据。Kapitanski 在 RIPE 93 展示，有些扫描器会在不同生产主机之间改变行为，甚至会在同一个网络里挑选不同设备继续探测。总体流量图能看到扫描器，却未必能看清它具体挑了哪台服务器。

传感器所在的位置本身就是证据的一部分。空闲地址能显示扫描范围；在线主机的空闲端口能显示扫描器如何挑选真实端点；远端蜜罐能记录连接之后发生什么。这几层数据回答的是不同问题，不能把一次 SYN 和一次登录尝试放在同一个计数里。

Kapitanski 说，当时的部署主要集中在美国教育网络；如果运营商与地区样本更加多样，结论可以推广到多远也会改变。报告还明确两个盲区：LightScope 不采集 UDP，也不处理回散流量。只看 TCP，无法覆盖所有扫描方式。

运营者面临的是一组具体选择：开放哪些空闲端口作传感器，哪些端口允许转发，谁能查看蜜罐记录，登录凭据和命令尝试要保存多久。端口原本没人用；传感器启用后，它就有了采集边界、数据责任人和退出方式。

来源