SSH thật vs SSH giả — vì sao honeypot lại hứng, còn port quản trị thì im lặng

Server này có 2 "cửa" SSH cùng chạy song song: port 2222 (SSH quản trị thật) và port 22 công khai (honeypot Cowrie). Cùng một khoảng thời gian, hai cửa nhận số lượt "gõ cửa" khác nhau hoàn toàn — không phải vì tình cờ, mà vì cách chúng được thiết kế để hứng khác nhau ngay từ đầu.

Hai cửa, hai vai trò

Port 2222   SSH quản trị thật     Security Group chỉ mở cho đúng 1 IP (của chủ)
Port 22     Honeypot Cowrie       Mở công khai cho cả internet

Port 2222: gần như im lặng

Vì Security Group chặn ngay ở tầng mạng của AWS — gói tin từ bất kỳ IP nào không nằm trong danh sách cho phép sẽ bị drop trước khi chạm tới sshd, không hề tạo ra log kết nối nào cả. Không phải vì không ai thử, mà vì thử cũng không tới được nơi để ghi log. Đây chính là lý do "ẩn" cổng quản trị thật đi hiệu quả: kẻ quét mạng thậm chí không biết cổng này tồn tại.

Port 22: 329 lượt trong 3 ngày

Ngược lại, port 22 công khai — nơi mọi con bot quét internet đều mặc định thử đầu tiên — đã ghi nhận 329 kết nối từ 112 IP khác nhau chỉ trong 3 ngày đầu tiên hoạt động (xem chi tiết ở bài phân tích honeypot). Toàn bộ số này đáng lẽ sẽ nhắm thẳng vào SSH quản trị thật nếu nó vẫn còn nằm ở port mặc định.

Vì sao chênh lệch lớn đến vậy

Không có gì bí ẩn — phần lớn hoạt động quét mạng trên internet là tự động, nhắm vào port 22 theo mặc định vì đó là con số mọi kẻ quét đều biết. Chỉ cần đổi SSH thật sang một port khác và giữ Security Group giới hạn theo IP, phần lớn lưu lượng quét mạng tự động đã bị loại khỏi vùng va chạm — không phải vì hệ thống mạnh hơn, mà vì nó không còn là mục tiêu dễ thấy nữa.

Kết luận

Honeypot ở đây không chỉ "bẫy" kẻ tấn công để quan sát — nó còn đóng vai trò làm mồi hút toàn bộ lưu lượng quét mạng tự động ra khỏi cổng quản trị thật. Hai con số 0 (gần như) và 329 không phải ngẫu nhiên, mà là kết quả trực tiếp của một quyết định kiến trúc đơn giản: đừng để thứ quan trọng nằm ở chỗ dễ đoán.