摘要

  • APNIC 的 RDP 蜜罐一周收到 6,637 个不同源 IP 发起的 2,560 万次连接尝试，平均每个被观察到的源 IP 约 3,900 次。
  • 这组数据说明远程访问服务反复被敲门；APNIC 没有公布这批 RDP 连接的成功认证数量。

一个无人看守的服务，总会遇到把“坚持”当成个性的来电者。APNIC 的 RDP 蜜罐记录到 6,637 个不同源 IP；七天里，它们合计拨了 2,560 万次。

数据来自 OpenCanary。它是一种蜜罐，模拟远程访问和数据库服务。APNIC 在 2026 年 9 月 21 日至 27 日用重建后的 Honeynet 进行了这次观测。按源 IP 数量计算，Remote Desktop Protocol（RDP）是 OpenCanary 中最受关注的服务；Microsoft SQL Server 有 3,598 个源 IP，VNC 有 3,179 个。

连接尝试的总量让 RDP 数字比地址数本身更有意思。6,637 个源 IP 发起了 2,560 万次尝试，一周平均每个约 3,900 次。VNC 收到 420 万次尝试，源 IP 还不到 RDP 的一半。也就是说，RDP 蜜罐的连接量约为 VNC 的六倍，源 IP 数约为两倍。APNIC 将这种反复出现的流量称为持续性：系统发现暴露的服务后，又回来了。

这里没有 2,560 万次成功登录。APNIC 公布的是 RDP 连接尝试总数，没有公布通过认证的会话数。每个源 IP 约 3,900 次是平均值，报告没有列出各地址的具体分布。源 IP 也不等于一个固定的人或设备：地址可能变更，也可能由共享网络中的多台设备共同使用。可确认的是蜜罐承受了多大连接压力，而不是有多少个行为主体。

为什么要关心一个假的远程桌面？因为蜜罐模拟的是现实中的管理入口。RDP 可以让员工远程管理设备；当这个服务直接暴露在互联网，扫描器也能找到它。CISA 的 #StopRansomware 指南建议不要把 RDP 暴露给公共互联网。确有远程访问需要时，CISA 建议限制来源网络，在入口前配置 VPN 或其他安全访问层，要求多因素认证，监控 RDP 日志，并按预设尝试次数锁定账户。

APNIC 这周的蜜罐数据没有记录到成功入侵。它记录的是一扇暴露的门会招来多少次重复敲门。运维面板应该把四个计数分开：不同源 IP、连接尝试、认证失败、接受的会话。前两项说明谁到过门口、来了多少次；后两项才说明有没有人走进来。把它们塞进一个“攻击次数”，忙碌的日志就成了一份错误的事故报告。

还缺两项明确记录：APNIC 没有公布 RDP 成功认证数，也没有发布可比的第二周样本。若用相同传感器和观察周期再测一周，读者才能判断这次是短时高峰，还是日常背景噪声。当前数据已经足以支持一项决定：不需要公网 RDP，就关掉公网入口；确实需要，就在前面加一道受控入口，并记录什么流量通过了它。

互联网没有前台。防火墙得接下这份工作。

来源：APNIC 一周 Honeynet 报告；APNIC Honeynet 项目介绍；CISA #StopRansomware 指南。