К содержимому

ogurexxx@root:~$ ./experiment.sh

Лаборатория

Каждый день ловушка выглядит по-другому: меняются имя сервера и версия системы в приветствии. Гипотеза: на «боевой» сервер боты реагируют активнее, чем на резервный. Проверяем на настоящих ботах.

Вывод: данных мало, нужно по 14 дней на вариант · сегодня: srv-backup01

вариант	дни	сессий в день	с командами в день	доля с командами	команд на сессию
srv-backup01 · Debian 12	0	0.0	0.0 ± 0.0	0.0%	0.0
prod-db-01 · Ubuntu 22.04	0	0.0	0.0 ± 0.0	0.0%	0.0
wp-shop · OpenSSH 7.4	0	0.0	0.0 ± 0.0	0.0%	0.0

Методика

Варианты меняются каждый день в 04:30 по Москве, по кругу. Частая смена снижает влияние волн атак, которые длятся неделями.
Главный показатель — сессии с командами в день. Рядом указана стандартная ошибка.
Вывод появляется при 14 днях на вариант и разнице больше двух стандартных ошибок.

Что может исказить результат

Варианты отличаются сразу двумя признаками, поэтому нельзя сказать, какой из них сработал.
Имя сервера бот видит только после входа, а баннер — сразу.
Боты, сканировавшие сервер в другой день, могут вернуться и попасть в чужой вариант.
При сравнении трёх вариантов случайные различия появляются чаще, поэтому вывод — повод проверить дальше, а не доказательство.