Yandex-ի անջատումը. վնասակար բոտերը կանգնելու փոխարեն տեղափոխվեցին՝ Cloudflare-ի տվյալներով

Yandex-ի ցանցի կոլապսը հարձակումներից հետո

Հոկտեմբերի 7-11-ին, հաղորդագրությունների համաձայն, ուկրաինական անօդաչուները հարձակվել են Ռուսաստանում Yandex-ի երեք օբյեկտի վրա, ինչը աստիճանաբար անջատել է տվյալների կենտրոնները և ցանցային հզորությունը։ Cloudflare Radar-ի համաձայն՝ հոկտեմբերի 11-ին Yandex-ի ցանցը գրեթե ամբողջությամբ վայր է ընկել. Yandex Search-ի (AS13238) տրաֆիկը կրճատվել է 99%-ով՝ հիմնական մակարդակի նկատմամբ, իսկ Yandex.Cloud-ինը (AS200350)՝ 90%-ով։ Կարճ վերականգնումից հետո երկու ցանցն էլ մնացել են խափանված մինչև հոկտեմբերի 13-ը և նորմայից 86-90%-ով ցածր։ Հոկտեմբերի 14-ին, ժամը 18:00 UTC, տրաֆիկը կազմել է նորմայի 85%։

Հարձակումներից առաջ ավտոմատացված հարցումները Cloudflare-ի ցանցում կազմում էին գլոբալ HTTP տրաֆիկի 36,1%-ը, իսկ ռուսական IP-ներից՝ 35,8%-ը։ Անջատումը բացահայտեց երկու Yandex ASN-ների տարբեր դերերը։

Yandex Search-ի ASN-ում որոնման կռոլինգը անկում ապրեց

Yandex Search-ը (AS13238) ծառայում է որոնման ինդեքսի կռոլինգին։ Cloudflare-ը նրա հարցումների 99,5%-ը որակել է որպես ավտոմատացված, իսկ բոտային հարցումների 93,6%-ը՝ որպես հաստատված։ Ընտրանքում 78,1%-ը YandexBot էր, 11,5%-ը՝ YandexRenderResourcesBot, 1,9%-ը՝ YandexImages։ Ամենակտիվ անկումը գրանցվել է հրատարակչության և թերթերի ոլորտում. Yandex-ի ցանցերից եկող տրաֆիկը կրճատվել է 44%-ով։ Միջադեպից առաջ այդ ASN-ից լրատվական կայքերի տրաֆիկի մոտ 90%-ը YandexBot-ի հոդվածների ինդեքսավորումն էր, իսկ Cloudflare-ի օգտատերերի 40,5%-ը վերադարձրեց HTTP 403 Forbidden, քանի որ կայքի սեփականատերը արգելափակել էր կռոլերը։ ASN-ի անջատման ժամանակ օգտատերերը Yandex-ից ավելի քիչ ինդեքսավորում տեսան։

Վնասակար ավտոմատացումը տեղափոխվեց Yandex.Cloud-ից

Yandex.Cloud-ը (AS200350) ամպային հոստինգի ցանց է՝ այլ պրոֆիլով։ Նրա գնահատված հարցումների մոտ 95,0%-ը բոտեր էին, սակայն Cloudflare-ը ոչ մեկը չհաստատեց։ Հարձակումներից հետո Yandex.Cloud-ից եկող բոտային տրաֆիկը կրճատվեց մոտ 40%-ով։ WordPress-ի հավելվածների ստուգումը՝ 90%-ով, սկաներներով նույնականացված հարցումները՝ 93%-ով, իսկ Cloudflare-ի օգտատերերի կողմից Yandex.Cloud-ի տրաֆիկի արգելափակումը՝ 70%-ով նվազեց։

Ազարտային խաղերի ոլորտը ցույց տվեց, որ վնասակար ավտոմատացումը չանհետացավ, այլ տեղափոխվեց։ Yandex.Cloud-ի բոտային հարցումների գրեթե բոլորը ուղղված էին մեկ ազարտային խաղերի հաճախորդի հաշվին։ Հոկտեմբերի 8-ի խափանումից հետո այդ հաշվին Yandex.Cloud-ից եկող հարցումները նվազեցին մինչև զրո, իսկ նույնական հարցումները հայտնվեցին այլ ռուսական հոստինգի ASN-ներից, ներառյալ Radist-ից և Selectel-ից, նույն JA4 TLS fingerprint-ով, հարցման ուղիներով, HTTP հեդերներով և custom User-Agent տողերով։ Ազարտային խաղերի հաշիվների վրա ռուսական բոտային տրաֆիկը գործնականորեն անփոփոխ մնաց՝ աճելով 167,7 միլիոնից մինչև 170,1 միլիոն հարցում (+1,4%)։

Միջամտության գործողությունների խափանման ապացույց չկա

Cloudflare-ի ցանցում գլոբալ բոտային հարցումները միջադեպի ընթացքում գրեթե անփոփոխ էին՝ HTTP հարցումների 39,2-39,6%-ը՝ միջադեպից առաջ 39,4%-ի դիմաց։ Ռուսաստանից եկող բոտային հարցումները 50,4%-ից նվազեցին մոտ 42-43%-ի, մոտավորապես համաչափ Yandex-ի անջատված տրաֆիկին։ Cloudflare-ը վերլուծել է նաև սոցիալական մեդիայի տրաֆիկը և անսպասելի փոփոխություններ չի գտել՝ ո՛չ ռուսական IP-ներից (ընդհանուր տրաֆիկի 0,6% անկում), ո՛չ էլ գլոբալ մակարդակում (1,2% աճ)։

Գնահատականով, տվյալները չեն հաստատում այն պնդումը, թե հարձակումները խաթարել են սոցիալական մեդիայի մանիպուլյացիան, սակայն Cloudflare-ը նշում է, որ ցանցից դուրս տվյալների բացակայության պայմաններում կապը վերջնականապես չի կարող բացառվել։ Ընկերությունը եզրակացնում է, որ հաճախորդի ASN-ի տրաֆիկի ծավալը բոտերի վարքի ոչ հուսալի ցուցանիշ է, և ավտոմատացված սպառնալիքներից պաշտպանությունը պահանջում է հարցումների վարքի ստուգում, օրինակ՝ ընդհանուր JA4 fingerprint-ների և անոմալ հաճախականությունների դեպքում՝ անկախ նրանից, թե որ ցանցից է գալիս հարցումը։

Աղբյուրներ: The Cloudflare Blog