Fiche IP

Brésil

16.5.0.201

Activité suspecte · risque 34/100

Campagne de scan — plusieurs IP du même /24 (16.5.0.0/24, ≥3 pairs)

FAI EMBNEX, LLC Première vue 22/10/2026 01:33 UTC Dernière vue 25/10/2026 03:43 UTC Risque Faible

Période 2026-10-18 → 2026-10-25

Faible 34/100

24h 7j 30j 90j

Synthèse

Score de risque max. 34/100 Faible · Maximum de risk_score (événements honeypot)

Première observation 22/10/2026 01:33 UTC

Dernière observation 25/10/2026 03:43 UTC

Événements (période) 3

Décision conseillée Surveiller Observer, investiguer ou bloquer. Le site ne pousse pas de règle pare-feu.

MITRE ATT&CK principal TA0007 3 occurrences

Pourquoi listée

Type « Sonde GlassFish » (signaux protocolaires) · confiance 0%

Confiance 10 % — Score WAF 8 · Bonus corrélation +10

Décision

Observer

Le score actuel ne justifie pas de blocage. Gardez l’IP en suivi si elle se manifeste à nouveau.

34/100 Confiance 10 % 3 événements TA0007

À faire

Aucune règle de blocage sur la base de ce score.
Conserver l’IP dans la watchlist locale si le contexte métier est sensible.
Revenir sur la fiche si de nouveaux événements apparaissent.

Preuves JSON SOC CEF STIX Ticket nftables

Note de ticket

IP 16.5.0.201
Décision : Observer
Score max : 34/100 (Faible)
Confiance : 10 %
Période : 2026-10-18 → 2026-10-25 · 3 événements
Motif : Type « Sonde GlassFish » (signaux protocolaires) · confiance 0%
MITRE : TA0007
FAI : EMBNEX, LLC · Brésil

Comparaison ASN / FAI

ASN 401661 · 16.5.0.0/24 · ARIN — 8 pair(s) ASN/FAI listé(s) — activité locale élevée vs pairs · 3 événements sur la période pour cette IP.

16.5.0.222 SSRF 25/10/2026 07:58 UTC
16.5.0.198 Sonde OpenVPN 25/10/2026 06:39 UTC
16.5.0.212 SSRF 25/10/2026 05:29 UTC
16.5.0.200 SSRF 25/10/2026 03:43 UTC
16.5.0.168 SSRF 24/10/2026 04:06 UTC
16.5.0.171 SSRF 24/10/2026 01:26 UTC
16.5.0.189 SSRF 23/10/2026 11:18 UTC
16.5.0.176 SSRF 23/10/2026 10:36 UTC

Événements (filtres)

Première observation

22/10/2026 01:33 UTC

Dernière observation

25/10/2026 03:43 UTC

Dernière activité (filtres)

25/10/2026 03:43 UTC

Événements 7j

Ports distincts (7j)

Classifications (7j)

Sévérité max (7j)

Élevée

Activité multi-protocole

Cette IP touche plusieurs services simulés (pas seulement le web).

SAP ICM TCP 2 GLASSFISH TCP 1

SAP ICM

GLASSFISH

Géolocalisation

Origine réseau déclarée

Brésil unknown unknown

FAI / réseau

Opérateur et dernière activité ban

EMBNEX, LLC 0 Port 8000 Sonde SAP ICM HTTP

Renseignement menaces

Score capteur — surveiller, investiguer ou bloquer.

Recommandation

Stade d'attaque

Sonde / probe

Chaîne d'attaque

Reconnaissance

Vecteur d'attaque

glassfish probe · via GLASSFISH:8291 · (sonde / probe)

Détails protocole

Empreinte JA3: b881b92274f99205ebee7e9b
Empreinte JA4: 85d0b806a0f870026ccd06a7

Aperçu payload

uq �+�/�,�0̨̩��/5 .

Port / service

8291 · GLASSFISH

Service émulé

GLASSFISH

Raison confiance

Confiance 0 % — 3 signal(aux) capteur

Technique MITRE

TA0007

Persona capteur

mail.sensor-1.internal

Corrélations comportementales

Scan coordonné

Recommandation

Surveiller

Rôle capteur

Renseignement menaces

Confiance

10% Corrélation +10

Famille de menace

network_service_scan IP signalée (IPsum, 3 listes ou plus) IP malveillante (CINS Army)

MITRE ATT&CK — tactiques observées

Découverte Accès initial

Décomposition confiance

Décomposition du score

Filtres

Les dates De/À priment sur la période. Affinez protocole, port, service et classification.

proto=Tous service=Tous port=Tous type=Tous sév.=Toutes

Période

Protocole

Port (dst)

Service

Classification

Sévérité min

Sévérité max

Réinitialiser

Profil d’activité

Heures UTC et jours de la semaine, calculés sur les séries de la page

Heures UTC

Jours de semaine

Constats

Lecture automatique du volume, des ports et des créneaux UTC

Timeline

3 événements filtrés — activité quotidienne

Ports 24 h

Top ports ciblés sur les dernières 24 heures

Top ports

Part du volume sur la période filtrée

Top classifications

Libellés capteur, part du volume

Heatmap attaques 7j

Intensité par jour et heure (UTC capteur)

Chronologie des événements

3 événement(s) — page 1/1

Horodatage	Proto	Port	Service	Classification	Sévérité	Risque
25/10/2026 03:43:55 UTC	TCP	8291 · GLASSFISH	glassfish	Sonde GlassFish glassfish probe · via GLASSFISH:8291 · (sonde / probe)	Élevée	Faible · 34
Étape Sonde / probe Chaîne Reconnaissance Persona mail.sensor-1.internal Rôle capteur Renseignement menaces Corrélations Scan coordonné MITRE TA0007 Découverte Accès Protocole JA3 b881b92274f99205 Émulateur GLASSFISH WAF — Recommandation Surveiller Tags glassfish_emulated net_glassfish_probe tls_clienthello Cible HTTP — TLS SNI — Capteur paris-1
Preuve / Evidence Méthode — Port 8291 Chemin / cible — Service GLASSFISH Payload uq �+�/�,�0̨̩��/5 . Pourquoi cette classification : Type « Sonde GlassFish » (signaux protocolaires) · confiance 0% Confiance classification 10% Corrélation +10 Risque capteur Faible · 34 Confiance : Confiance 0 % — 3 signal(aux) capteur Protocole émulé 1 Technique MITRE TA0007 Tactiques MITRE Découverte Accès initial User-Agent — Règles WAF — Payload (extrait) uq �+�/�,�0̨̩��/5 . Meta JSON brut {"protocol_emulated":true,"emulator_response":"485454502f312e3120323030204f4b0d0a5365727665723a204170616368652f322e342e35370d0a436f6e74656e742d4c656e6774683a20320d0a436f6e6e656374696f6e3a20636c6f73650d0a0d0a4f4b","emulator_response_len":82,"bytes_in":122,"payload_entropy":4.768636352937427,"port_category":"registered","org":"EMBNEX, LLC","service":"glassfish","app_proto":"glassfish","asn":401661,"country":"BR","dst_port":8291,"risk_waf":8,"risk_classification":50,"risk_behavior":0,"risk_geo":0,"risk_protocol":30,"risk_novelty":15,"risk_boost":0,"risk_granularity":3.3,"risk_breakdown":{"waf":8,"classification":50,"behavior":0,"geo":0,"protocol":30,"novelty":15},"risk_score":34,"tag_count":3,"anomaly_count":0,"campaign_key":"0855888d8fd1333896428df5f5bb95221a86f7d3","event_fingerprint":"a46f9985263cf5ed8abba1dd09854605de507628","classification_reason":"Type \u00ab glassfish_probe \u00bb (signaux protocolaires) \u00b7 confiance 0%","confidence":0.1,"classification_confidence":0.1,"precision_score":0,"precision_signals":[],"kb_rule_ids":[],"confidence_breakdown":{"waf":8,"classification":50,"behavior":0,"geo":0,"protocol":30,"novelty":15,"risk_score":34,"correlation_boost":10},"named_classification_skipped":false,"service_name":"glassfish","risk_confidence_factor":0,"city":null,"is_datacenter":false,"is_tor_hint":false,"geo":{"country":"BR","asn":401661,"org":"EMBNEX, LLC","is_datacenter":false,"is_tor_hint":false},"fingerprint":{"payload_hash":"4c92fb73c019513bccf555392c43921a",…
22/10/2026 01:33:20 UTC	TCP	8000 · SAP ICM	sap-icm	Sonde SAP ICM HTTP Sonde SAP ICM / WebDynpro · via SAP ICM:8000 · (sonde / probe)	Élevée	Faible · 34
Étape Sonde / probe Chaîne Découverte Persona mail.sensor-1.internal Rôle capteur Renseignement menaces MITRE TA0007 Découverte Accès Protocole Émulateur SAP-ICM WAF — Recommandation Surveiller Tags http_get_probe mozi_pattern net_sap_web_probe sap_icm_emulated Cible HTTP — TLS SNI — Capteur paris-1
Preuve / Evidence Méthode — Port 8000 Chemin / cible — Service SAP ICM Payload GET / HTTP/1.1 Host: 62.3.50.33 User-Agent: Mozilla/5.0 (compatible; FlowIQLabsBot/1.0; +https://flowiq-labs.com/scanning-info Pourquoi cette classification : Type « Sonde SAP ICM HTTP » (signaux protocolaires) · confiance 0% Confiance classification 0% Risque capteur Faible · 34 Confiance : Confiance 0 % — 5 signal(aux) capteur Protocole émulé 1 Technique MITRE TA0007 Tactiques MITRE Découverte Accès initial Motifs de détection (base) LFI Double-dot bypass User-Agent — Règles WAF — Payload (extrait) GET / HTTP/1.1 Host: 62.3.50.33 User-Agent: Mozilla/5.0 (compatible; FlowIQLabsBot/1.0; +https://flowiq-labs.com/scanning-info Requête brute (extrait) GET / HTTP/1.1 Host: 62.3.50.33 User-Agent: Mozilla/5.0 (compatible; FlowIQLabsBot/1.0; +https://flowiq-labs.com/scanning-info) Accept: / Connection: close Meta JSON brut {"protocol_emulated":true,"emulator_response":"485454502f312e3120323030204f4b0d0a5365727665723a205341502049434d0d0a436f6e74656e742d547970653a20746578742f68746d6c0d0a436f6e74656e742d4c656e6774683a2036300d0a0d0a3c68746d6c3e3c626f64793e53415020496e7465726e657420436f6d6d756e69636174696f6e204d616e616765723c","emulator_response_len":141,"bytes_in":165,"payload_entropy":5.222494310506847,"port_category":"registered","org":"EMBNEX, LLC","service":"sap-icm","app_proto":"sap-icm","asn":401661,"country":"BR","dst_port":8000,"risk_waf":8,"risk_classification":54,"risk_behavior":0,"risk_geo":0,"risk_protocol":48,"risk_novelty":25,"risk_boost":20,"risk_granularity":2.1,"risk_breakdown":{"waf":8,"classification":54,"behavior":0,"geo":0,"protocol":48,"novelty":25},"risk_score":34,"tag_count":5,"anomaly_count":0,"campaign_key":"f4d3bfae803bd07fc62331c16ac15c5323341684","event_fingerprint":"40ac2e001fc92fc4c26729171b1b914e26c42c6a","classification_reason":"Type \u00ab sap_web_probe \u00bb (signaux protocolaires) \u00b7 confiance 0%","confidence":0,"classification_confidence":0,"precision_score":0,"precision_signals":[],"kb_rule_ids":[],"matched_patterns":["pat-0103"],"matched_pattern_names":["LFI Double-dot bypass"],"pattern_ids":["pat-0103"],"confidence_breakdown":{"waf":8,"classification":54,"behavior":0,"geo":0,"protocol":48,"novelty":25,"risk_score":34},"named_classification_skipped":false,"service_name":"sap-icm","risk_confidence_factor":0,"city":null,"is_datacenter":false,"is_tor_hint":f…
22/10/2026 01:33:15 UTC	TCP	8000 · SAP ICM	sap-icm	Sonde SAP ICM HTTP Sonde SAP ICM / WebDynpro · via SAP ICM:8000 · (sonde / probe)	Élevée	Faible · 34
Étape Sonde / probe Chaîne Découverte Persona mail.sensor-1.internal Rôle capteur Renseignement menaces MITRE TA0007 Découverte Accès Protocole Émulateur SAP-ICM WAF — Recommandation Surveiller Tags net_sap_web_probe sap_icm_emulated Cible HTTP — TLS SNI — Capteur paris-1
Preuve / Evidence Méthode — Port 8000 Chemin / cible — Service SAP ICM Pourquoi cette classification : Type « Sonde SAP ICM HTTP » (signaux protocolaires) · confiance 0% Confiance classification 0% Risque capteur Faible · 34 Confiance : Confiance 0 % — 2 signal(aux) capteur Protocole émulé 1 Technique MITRE TA0007 Tactiques MITRE Découverte Accès initial User-Agent — Règles WAF — Meta JSON brut {"protocol_emulated":true,"emulator_response":"485454502f312e3120323030204f4b0d0a5365727665723a205341502049434d0d0a436f6e74656e742d547970653a20746578742f68746d6c0d0a436f6e74656e742d4c656e6774683a2036300d0a0d0a3c68746d6c3e3c626f64793e53415020496e7465726e657420436f6d6d756e69636174696f6e204d616e616765723c","emulator_response_len":141,"port_inferred_service":true,"bytes_in":0,"payload_entropy":0,"port_category":"registered","org":"EMBNEX, LLC","service":"sap-icm","app_proto":"sap-icm","asn":401661,"country":"BR","dst_port":8000,"risk_waf":8,"risk_classification":54,"risk_behavior":0,"risk_geo":0,"risk_protocol":38,"risk_novelty":0,"risk_boost":0,"risk_granularity":1,"risk_breakdown":{"waf":8,"classification":54,"behavior":0,"geo":0,"protocol":38,"novelty":0},"risk_score":34,"tag_count":2,"anomaly_count":0,"campaign_key":"169688a7c75139fb8054867175c5f04b25d76e63","event_fingerprint":"40ac2e001fc92fc4c26729171b1b914e26c42c6a","classification_reason":"Type \u00ab sap_web_probe \u00bb (signaux protocolaires) \u00b7 confiance 0%","confidence":0,"classification_confidence":0,"precision_score":0,"precision_signals":[],"kb_rule_ids":[],"confidence_breakdown":{"waf":8,"classification":54,"behavior":0,"geo":0,"protocol":38,"novelty":0,"risk_score":34},"named_classification_skipped":false,"service_name":"sap-icm","risk_confidence_factor":0,"city":null,"is_datacenter":false,"is_tor_hint":false,"geo":{"country":"BR","asn":401661,"org":"EMBNEX, LLC","is_datacenter":false,"is_tor_hint":false},"…

Réputation

Sécurité avancée

Offensive / Recon

Sécurité

DNS

Réseau

E-mail

IP

Utilitaires

16.5.0.201

Synthèse

Pourquoi listée

Observer

À faire

Note de ticket

Comparaison ASN / FAI

Activité multi-protocole

Géolocalisation

FAI / réseau

Renseignement menaces

Décomposition confiance

Décomposition du score

Filtres

Profil d’activité

Heures UTC

Jours de semaine

Constats

Timeline

Ports 24 h

Top ports

Top classifications

Heatmap attaques 7j

Chronologie des événements

Comparaison côte à côte

Preuve / Evidence

Preuve / Evidence

Preuve / Evidence

16.5.0.201

Pourquoi listée

Observer

À faire

Note de ticket

Comparaison ASN / FAI

IPs apparentées

Activité multi-protocole

Géolocalisation

FAI / réseau

Renseignement menaces

Décomposition confiance

Décomposition du score

Filtres

Profil d’activité

Heures UTC

Jours de semaine

Constats

Timeline

Ports 24 h

Top ports

Top classifications

Heatmap attaques 7j

Chronologie des événements

Comparaison côte à côte

Preuve / Evidence

Preuve / Evidence

Preuve / Evidence