摘要

  • 2026 年 9 月 21 日至 27 日，APNIC 记录到 98,958 个不同来源 IP 与蜜罐互动，共产生 1.73 亿条事件记录。
  • 六个传感器的来源 IP 小计合为 113,299 次出现；跨传感器去重后少了 14,341 次重复出现。

安全仪表盘有时会在同一周里摆出一个很大的数字和一个更有用的数字。APNIC 蜜网在 2026 年 9 月 21 日至 27 日记录了 1.73 亿次事件，来自 98,958 个不同的来源 IP。前者计数的是活动，后者计数的是到达传感器的地址。它们并不是两个争夺“真实总量”的估算，而是在回答不同问题。

地区图也要按这个尺度阅读。APNIC 说，按 RIR 区域分布观察到的是受感染设备和扫描基础设施所在位置，而不是操作者的实际所在地。处理事件和共享威胁信息时，分析会转到 ASN；按经济体查看则可帮助与国家 CERT 合作。这张图适合安排修复工作，不适合点名嫌疑人。

传感器表格又带来第三个数字。模拟 SSH 和 Telnet 服务的 Cowrie 看到 72,256 个来源 IP，记录 1.211 亿次事件；OpenCanary 看到 14,393 个 IP，记录 3,450 万次事件。把六个传感器各自的 IP 数相加，结果是 113,299。APNIC 报告的全网唯一 IP 数为 98,958。两者相差 14,341，表示跨传感器合并去重时被折叠掉的额外“传感器—IP”出现次数。它是重叠在算术上的痕迹，不是重叠地址的独立数量。各传感器显示占比加起来是 115%，也因为同一个来源可以出现在多个传感器里。

OpenCanary 的 RDP 数据把事件计数的性格写得很清楚：6,637 个 IP 在一周内发起 2,560 万次连接尝试，平均每个约 3,900 次。来源地址数显示触达面；尝试次数显示重复强度和负载。一个机器人反复回来几千次，与几千个来源各来一次，是两种不同的运营问题。APNIC 说明采用唯一来源 IP 计数，是因为一个机器人可以制造数百万条日志，而另一个系统可能只连接一次。

APNIC 在 2019 年启动社区蜜网项目，目的是提高对针对亚太网络的恶意活动的可见度。项目说明把观测数据连接到 DASH 等会员工具和安全信息共享。报告真正有用的地方就在这条链上：观察服务、选对计数单位、补足网络上下文，再决定修复应落到哪里。

来源