Yandex Kesintisi: Kötü Botlar Durmak Yerine Taşındı, Cloudflare Verileri Gösteriyor

Saldırıların Ardından Yandex Ağının Çökmesi

7-11 Ekim'de, raporlara göre, Ukraynalı dronelar Rusya'da üç Yandex tesisine saldırdı ve bu sırasıyla veri merkezlerini ve ağ altyapısını devre dışı bıraktı. Cloudflare Radar'a göre, 11 Ekim'de Yandex ağı neredeyse tamamen çöktü: Yandex Search (AS13238) trafiği baz seviyeye göre %99, Yandex.Cloud (AS200350) trafiği ise %90 düştü. Kısa bir toparlanmaya rağmen, her iki ağ 13 Ekim'e kadar gecikmişti ve normun %86-90 altında kalmıştı. 14 Ekim'de, 18:00 UTC'de, trafik normun %85'iydi.

Samalardan önce otomatik istekler Cloudflare ağında global HTTP trafiğinin %36,1'ini, Rus IP'lerinden gelenler ise %35,8'ini oluşturuyordu. Kesinti, iki Yandex ASN'sinde farklı roller ortaya çıkardı.

Yandex Search ASN'sinde Tarama Düşüşü

Yandex Search (AS13238) arama indeksini taramaya hizmet eder. Cloudflare, isteklerinin %99,5'ini otomatik, bot isteklerinin %93,6'sını ise doğrulanmış olarak değerlendirdi. Örnekte %78,1 YandexBot, %11,5 YandexRenderResourcesBot, %1,9 YandexImages idi. En belirgin düşüş yayıncılık ve gazetelerde görüldü: Yandex ağlarından trafik %44 azaldı. Bu ASN'den haber sitelerine gelen trafiğin yaklaşık %90'ı YandexBot'un makaleleri indekslemesiydi, Cloudflare kullanıcılarının %40,5'i ise HTTP 403 Forbidden döndürdü çünkü site sahibi tarayıcıyı engelledi. ASN kesintisi sırasında kullanıcılar Yandex'ten daha az indeksleme gördü.

Kötü Otomasyon Yandex.Cloud'dan Taşındı

Yandex.Cloud (AS200350) farklı profilli bir bulut barındırma ağıdır. Tahmini isteklerinin yaklaşık %95,0'u botlardı, ancak Cloudflare bunların hiçbirini doğrulamadı. Saldırıların ardından Yandex.Cloud'dan bot trafiği yaklaşık %40 düştü. WordPress eklentilerinin kontrolü %90, tarayıcılarla tanımlanan istekler %93, Cloudflare kullanıcılarının Yandex.Cloud trafiğini engelleme oranı ise %70 azaldı.

Kumarhane sektörü, kötü otomasyonun kaybolmak yerine taşındığını gösterdi. Yandex.Cloud bot isteklerinin neredeyse tamamı tek bir kumarhane müşterisi hesabına yöneliyordu. 8 Ekim'deki kesintinin ardından Yandex.Cloud'dan bu hesaba istekler sıfıra düştü, ancak aynı istekler aynı JA4 TLS parmak izi, istek yolları, HTTP başlıkları ve özel User-Agent dizileriyle diğer Rus barındırma ASN'lerinden, aralarında Radist ve Selectel'den, göründü. Kumarhane hesaplarında Rus bot trafiği pratikte değişmedi: 167,7 milyondan 170,1 milyon iseğe yükseldi (+%1,4).

Müdahale Operasyonlarına Dair Kanıt Yok

Cloudflare ağında global bot istekleri olay sırasında neredeyse değişmedi, HTTP isteklerinin %39,2-39,6'sı, olaydan önce ise %39,4'üydü. Rusya'dan bot istekleri %50,4'ten yaklaşık %42-43'e düştü, bu yaklaşık Yandex'in kesilen trafiğine orantılıydı. Cloudflare sosyal medya trafiğini de analiz etti ve ne Rus IP'lerinden (tam trafikte %0,6 azalma) ne de global olarak (%1,2 artış) beklenmedik değişiklikler bulamadı.

Değerlendirmeye göre, veriler saldırıların sosyal medya manipülasyonuna zarar verdiği iddiasını desteklemiyor, ancak Cloudflare ağ dışı veriler olmadan bağlantıyı kesin olarak dışlayamayacağını belirtiyor. Şirket, müşteri ASN'sinin trafik hacminin bot davranışı için güvenilir bir gösterge olmadığını ve otomatik tehlikelerden korunmanın istek davranışının kontrol etmeyi gerektirdiğini vurguluyor; örneğin ortak JA4 parmak izleri ve anormal sıklık, hangi ağdan geldiğine bakılmaksızın.

Kaynaklar: The Cloudflare Blog