Yandexの障害：データによると、闇に消えるのではなく、悪意のあるボットが移動した

Yandexのデータセンターへの攻撃が報告された後、ロシアのボットファームや影響力工作が停止したという主張がインターネット上で広まりました。HTTPトラフィックの急激な低下は、インフラへの損害がこれらの悪意のあるアクターを停止させたという憶測を煽りました。しかし、集計されたトラフィックメトリクスは容易に誤解を招く可能性があります。 Yandexには2つの自律システム番号（ASN）が関連付けられています。AS13238はYandexの検索エンジンによって使用され、AS200350はクラウドサービスを実行しています。Cloudflare RadarとBot Managementのデータを使用して、これら2つのASNがどのように影響を受けたかを分析しました。両方ともトラフィックの低下は見られましたが、影響は異なりました。 Yandex Search (AS13238): トラフィックの低下は、ほぼ完全にウェブページ、画像、サイトリソースをインデックス化する検証済みの検索クローラーによるものでした。 Yandex.Cloud (AS200350): 脆弱性スキャンやプロービングのような悪意のある活動の減少は見られましたが、高ボリュームの自動化は消滅せず、単に他のホスティングプロバイダーに移行しました。 悪意のあるトラフィックが特定のプロバイダーから発信されているからといって、必ずしもそのトラフィックの責任者が誰であるかを示すものではありません。攻撃が悪意のあるトラフィックに持続的な影響をほとんど与えなかった理由を理解するには、全体的なトラフィックパターンだけでなく、リクエストの動作を分析する必要があります。 何が起こったか：攻撃の影響とイベント前のベースライン 10月7日から11日にかけて、報告されたウクライナのドローン攻撃がロシア国内の3つのYandex施設を襲い、データセンターとネットワーク容量を段階的に停止させました。Cloudflare Radarで見られたように、これは10月11日にYandex Search (AS13238)でベースラインの99%減、Yandex.Cloud (AS200350)で90%減という、Yandexネットワークのほぼ完全な崩壊につながりました。一時的な部分的な回復があったにもかかわらず、両方のネットワークは10月13日まで混乱が続き、通常のベースラインから86〜90%下回る水準で落ち着きました。（10月14日18:00 UTC現在、トラフィックは通常の85%です。） HTTPトラフィック全体の低下は、ネットワークがダウンしたことを確認するだけです。悪意のあるボットや回避的なボットが妨害されたかどうかは明らかになりません。イベント前の自動化ベースラインを見ると、攻撃前に、自動化されたリクエストがCloudflareネットワーク全体で観測されたHTTPトラフィック全体の36.1%、ロシアのIPアドレスからのトラフィックの35.8%を占めていたことがわかります。 Yandexの2つのASNは異なる役割を果たしていたため、アウトエージはそれらのASNにおける自動化活動に異なる影響を与えました。 Yandex Search ASN (AS13238) は、検索インデックスのクロールに使用されます。Cloudflareは、そのリクエストの99.5%を自動化されたものとして分類し、ボットリクエストの93.6%を検証済みとしました。私たちの分析では、このASNからのトラフィックはページをインデックス化し、ページをレンダリングし、画像をレンダリングしており、これは検索クローラーの一貫した動作と一致していました。Yandex Search ASNは、ロシア発のボットリクエストの約7%、グローバル合計のわずか0.05%を提供していました。 Yandex.Cloud ASN (AS200350) はクラウドホスティングネットワークであり、非常に異なる自動化の組み合わせを扱っています。そのスコアリングされたリクエストの約95.0%はボットでしたが、観測されたボットリクエストはCloudflareによって検証されたものはありませんでした。Yandex.Cloudのボットはソフトウェアアプリケーションのように見え、そのリクエストのほぼ3分の2はウェブサイトにデータを送信し、一部はJavaScript、Python、またはGoプログラムとして自己識別し、より大きな割合がYandexの検索ボットよりもソフトウェア企業に向けられていました。Yandex.Cloud ASNは、ロシア発のボットリクエストの約2%、グローバル合計のわずか0.01%を提供していました。 全体的なボットトラフィックへのイベントの影響 「ボットトラフィック」とは、クローラーやスクリプトなど、Cloudflareネットワーク上のウェブサイトへの自動化されたリクエストを指し、ソーシャルメディアプラットフォーム上のアクティビティを必ずしも意味するものではありません。Yandexのネットワークが容量を失うにつれて、それらのボットリクエストも減少しました。これは予想通りでした。Yandex SearchとYandex.Cloudからのトラフィックのほぼすべてが自動化されていたからです。総トラフィックの明らかな低下は見られましたが、Yandexからのトラフィック低下とグローバルな悪意のあるトラフィックの混乱を結びつける証拠は見つかりませんでした。ロシア発のボットリクエストは、それらのネットワークからのリクエストのほとんどが自動化されていたため、オフラインになったYandexトラフィックにほぼ比例して減少しました。 日付 UTC+3 グローバルボットリクエスト（全HTTPリクエストの%） ロシア発ボットリクエスト（ロシア発HTTPリクエストの%） 10月1日–6日：イベント前ベースライン 39.4% 50.4% 10月7日–8日：サソボへのドローン攻撃 39.2% (−0.2%) 48% (-2.4%) 10月9日：カルーガへのドローン攻撃 39.4% (+0%) 42.5% (-7.9%) 10月11日：ウラジーミルへのドローン攻撃 39.5% (+0.1%) 42.2% (-8.2%) 10月12日 39.6% (+0.2%) 43.6% (-6.8%) 10月13日 39.5% (+0.1%) 42.1% (-8.3%) * Radarは、総HTTPリクエストとHTMLリクエスト（ページビューの近似値）の両方でグローバルトラフィックを報告しています。上記の表は、総リクエスト量を示しています。 Yandex Search ASN (AS13238) への影響：検索クロールの減少 Yandex Search ASNの低下は、ほぼ完全に検索クロールによるものでした。サンプリングされたリクエストによると、78.1%が検証済みのYandexBot、11.5%がYandexRenderResourcesBot、1.9%がYandexImagesに属していました。 ウェブサイトやサービスの中で、最も急激な低下が見られた業界セグメントは、出版・新聞で、Yandexネットワークからのトラフィックが44%減少しました。このASNからのニュースサイトへのイベント前トラフィックの約90%は記事をインデックス化するYandexBotであり、Cloudflare顧客の40.5%はサイト所有者がクローラーをブロックしたためHTTP 403 Forbidden応答を返していました。Yandex Search ASNがオフラインになったとき、顧客はYandexからのインデックス化が減少しただけでした。 Yandex.Cloud ASN (AS200350) への影響：正規利用と悪意のあるトラフィックの移行 Yandex.Cloudは完全に異なるプロファイルを示しました。報告された攻撃の後、Yandex.Cloudからのボットトラフィックは約40%減少しました。特に、WordPressプラグインのプロービング（90%減）やスキャナー識別リクエスト（93%減）のような攻撃的なカテゴリで顕著な低下が見られました。興味深いことに（そして示唆的なことに）、Yandex.Cloudトラフィックに対するCloudflare顧客のブロックもイベント期間中に70%減少しており、このASNからCloudflare WAFに到達する悪意のあるトラフィックの割合が減少したことを示唆しています。 ビジネス部門への影響 Yandex.Cloudのボットトラフィックは、リクエスト先のトップ業界でセグメント化しても興味深い結果を示しました。 宛先業界 イベント前のボットトラフィック イベント中のボットトラフィック（10月7日～13日） 変化率 4xx（クライアントエラー）HTTP応答ステータス共有：イベント前 → イベント後 コンピュータソフトウェア 24.24M 15.18M -37.4% 18.5% → 15.9% ギャンブル 23.01M 18.80M -18.3% 99.1% → 99.3% メディア（アダルト含む） 1.33M 223.1K -83.3% 82.0% → 61.8% インターネット・通信 524.2K 206.5K -60.6% 71.4% → 51.1% 旅行・観光 363.9K 158.1K -56.6% 27.0% → 12.3% 小売・卸売 316.0K 167.7K -46.9% 71.0% → 55.9% ゲーム・コンピュータゲーム 226.3K 63.2K -72.1% 51.4% → 9.2% 出版・新聞 90.8K 8.8K -90.3% 90.2% → 61.4% Yandex.Cloud ASNからのトラフィックの大部分は、コンピュータソフトウェアとギャンブルの2つの業界バケットに分類されました。コンピュータソフトウェアバケットは、サードパーティアプリケーションやソフトウェア統合をホストするためのASNとしては予測可能でした。実際、api.cloudflare.comがYandex.Cloudリクエストトラフィックのトップホスト名であることが確認されました。イベント中およびイベント前を通じて、そのトラフィックの大部分は成功しており（リクエストは200を返した）、正規の利用を示唆しています。 ギャンブルセクターは、悪意のある自動化が消滅するのではなく、移転したことを示す最も明確な証拠を提供しています。Yandex.Cloudのボットリクエストのほぼすべてが、1つのギャンブル顧客アカウントを標的としており、トラフィックはそのホスト名を移動していました。10月8日の混乱直後、このアカウントへのYandex.Cloudからのボットリクエストはゼロに減少しました。同時に、RadistやSelectelを含む他のロシアのホスティングASNから同様のリクエストが現れ始めました。着信トラフィックはプロバイダー間で同一のフィンガープリントを維持していました。 同じJA4 TLSクライアントフィンガープリント 同じ珍しいリクエストパスとHTTPヘッダー 同じカスタムUser-Agent文字列 全体として、ギャンブルアカウントを標的とするロシアのボットトラフィックは、週を通して実質的に横ばいであり、1億6770万件から1億7010万件（+1.4%）に増加しました。自動化は決して停止せず、オペレーターは単にワークロードを代替のプロバイダーに移行しただけでした。