Эксперимент с использованием honeypot на базе пакета honeybot зафиксировал 2406 сессий от 309 IP-адресов за три дня: 7, 11 и 12 октября 2026 года. На SSH пришлось 68% всех подключений, при этом 63% трафика обеспечили всего два источника из сетей DigitalOcean и DMZHOST.
Ловушка имитировала работу шести служб, включая SSH, Telnet и Redis. Если SSH-боты ограничивались проверкой учетных данных и сбором сведений о системе, то активность в Redis была агрессивнее: злоумышленники пытались выполнять Lua-скрипты, менять настройки и загружать файлы для получения контроля над сервером.
В 410 сессиях клиенты отключались сразу после получения приветствия службы, что указывает на предварительное сканирование портов. Также в логах зафиксированы запросы от инструментов CensysInspect, Infrawatch и research-scan/1.0, которые могут использоваться как для исследовательских целей, так и для поиска уязвимостей.
Для защиты инфраструктуры автор рекомендует ограничивать доступ к портам доверенными IP-адресами и не публиковать базы данных в открытый интернет. Также эффективным методом названо использование fail2ban для блокировки адресов после неудачных попыток входа и тщательная проверка сетевых правил Docker, которые могут обходить стандартные настройки файрвола.
