APNIC 蜜罐统计揭示至少 2,869 个重复源 IP

摘要

APNIC 六个蜜罐分别统计的源 IP 合计 113,299 次；“All honeypots”一行记录 98,958 个独立地址。14,341 次重复归属意味着至少有 2,869 个地址被多个传感器看到。
报告显示的传感器占比相加为 115%，却没有列出传感器之间的交集。读者能比较各入口的流量，无法知道同一批地址是否跨过多个入口。

115% 藏在一张表里

APNIC 重建后的 Honeynet 在 2026 年 9 月 21 日至 27 日观察到 98,958 个独立源 IP。表 1 按传感器列出数字：Cowrie 为 72,256，Dionaea 为 21,210，OpenCanary 为 14,393，Fortinet 为 1,876，ADBHoney 为 1,841，Webpot 为 1,723。六行合计 113,299。

这比独立地址总数多出 14,341 次“地址—传感器”记录。表中四舍五入后的占比是 73%、21%、15%、2%、2% 和 2%，相加为 115%。以未取整的行数除以整体 IP 总量，则是 114.49%。

这不是算错了总数，而是统计口径在一张表里并排出现。每行是一个传感器的独立源地址集合，最后一行则把六个集合去重后再数。一个地址若同时触达 Cowrie 和 OpenCanary，会分别进入两行，却只在总计中出现一次；若进入三个传感器，就贡献两次额外记录。

差额还给出一个确定的下限。一个地址最多落在六个传感器中，重复地址至多贡献五次额外记录。14,341 除以 5 后向上取整，至少有 2,869 个不同源 IP 触达了多个传感器。若每个重复地址都只出现在两个传感器，数量最多可到 14,341。APNIC 没有公布精确数量，也没有给出传感器之间的交叉矩阵。

缺的正是决定这张安全图表如何解读的那层信息。Cowrie 模拟 SSH 和 Telnet，OpenCanary 覆盖 RDP 与数据库，Webpot 模拟网站应用，Fortinet 则是假扮 SSL-VPN 门户。分别统计可以回答“哪些源地址来过这个传感器”，却不能回答同一周内哪些地址还出现在另一个服务入口。

APNIC 选择按源 IP 计数，而不是把 1.73 亿条日志当成 1.73 亿个攻击者。单个机器人可以制造大量事件，另一个来源可能只连一次。这个口径避免日志量冒充对象数量，但表格仍然只记录地址。IP 行没有设备或人的身份字段，不能直接当成独立操作者清单。

对网络与安全团队来说，跨传感器复现会改变后续排查队列。若同一地址访问多个诱饵，分析人员可以将记录关联起来，再判断是否需要联动处置；若各传感器看到的大多是不同来源，工作重点就可能留在各自服务上。当前数据只能给出边际数值。14,341 是首次出现以外的重复归属次数，并非重复地址的精确数量，也不是某个攻击活动的规模。

下一版报告可公布按地址触达传感器数量划分的分布：一个、两个、三个或更多；再列出 15 组两两交集。补充源 IP 去重规则和观察窗口，读者就能理解这几组数到底如何比较。原始地址无需公开，聚合结果已经足够。

APNIC 说重建后的网络还太新，暂时不适合细致分析。但这张表已经说明下一步该测什么。APNIC 控制传感器组合和展示方式，运营团队再据此决定调查方向。把全局去重数、传感器记录总数和交集分布放在一起，读者就不必从“115%”标题里倒推统计口径。