بعد تعطل Yandex، مسار الروبوت أهم من جهة الاستضافة

Summary

• عكست خسارة Yandex Search أساساً اختفاء زواحف مفهرسة موثقة؛ أما عينة Yandex.Cloud فجمعت تطبيقات عادية وأتمتة تحمل مؤشرات شبيهة بالهجمات.
• بعد توقف الطلبات من AS200350 إلى حساب عميل بعينه، ظهرت على شبكات استضافة روسية أخرى طلبات تحمل بصمات JA4 والمسارات والترويسات ووكلاء المستخدم نفسها. يدعم ذلك انتقال هذه الحركة المرصودة، لكنه لا يحدد مشغلها ولا يصف حركة الإنترنت بأكملها.

يشير رقم النظام المستقل (ASN) إلى الشبكة التي جاءت منها الطلبات. لكنه لا يحدد وحده ما كانت تفعله، أو من كان يتحكم بها، أو ما إذا كانت قد استمرت من شبكة أخرى. ويوضح اضطراب أكتوبر المحيط بـ Yandex هذا الفرق بجلاء: فقدت شبكة البحث وشبكة الاستضافة السحابية كثيراً من الحركة، لكن للأتمتة التي مرت بكل منهما وظائف مختلفة وآثار مختلفة.

نشرت Cloudflare تحليلها في 14 أكتوبر، مستندة إلى بيانات Radar وBot Management في شبكتها. وقالت إن حركة Yandex Search (AS13238) هبطت في 11 أكتوبر بنسبة 99% دون خطها المرجعي، فيما هبطت حركة Yandex.Cloud (AS200350) بنسبة 90%. وفي 13 أكتوبر ظلتا أقل من المعتاد بنسبة تتراوح بين 86% و90%؛ وعند الساعة 18:00 بالتوقيت العالمي في 14 أكتوبر، رصدت Cloudflare عودة الحركة إلى 85% من المستوى الطبيعي. هذه قياسات مزود واحد وليست إحصاءً شاملاً للإنترنت الروسي.

يتطلب سبب الاضطراب بدوره إسناداً حذراً. تحدثت Yandex علناً عن أضرار وانقطاع خدمات في منشآتها في ساسوفو وكالوغا وفلاديمير؛ ووضعت Cloudflare الهجمات المبلغ عنها بين 7 و11 أكتوبر. تساعد الواقعة المادية في تفسير فقدان السعة، لكنها لا تحدد من كان وراء كل طلب مر عبر الشبكات من قبل، ولا تثبت أن Yandex شغّلت الحركة التي ظهرت لاحقاً لدى مزودين آخرين.

حالة AS13238 أوضح. صنفت Cloudflare 99.5% من الطلبات التي رصدتها من هذا النظام على أنها آلية، واعتبرت 93.6% من طلبات الروبوتات تلك موثقة. وشملت العينة YandexBot وYandexRenderResourcesBot وYandexImages، بما يتفق مع فهرسة البحث وعرض الصفحات. ووفقاً لـ Cloudflare، كان نحو 90% من الحركة السابقة للاضطراب من هذا النظام إلى المواقع الإخبارية صادراً عن YandexBot الذي يفهرس المقالات. عندما انقطع المسار، تراجع الزحف واكتشاف المحتوى عبر بحث Yandex. كان المقصود بـ«روبوت» هنا في الغالب خدمة بحث تؤدي مهمتها، لا هجوماً.

كانت عينة Yandex.Cloud أكثر تنوعاً. قالت Cloudflare إن قرابة 95% من الطلبات التي جرى تقييمها كانت روبوتات، لكن لم يوثَّق أي من طلبات الروبوتات المرصودة عبر نظامها. ولا يعني ذلك أن كل طلب كان خبيثاً. أرسل ما يقرب من ثلثي الطلبات بيانات إلى المواقع؛ وكان للبرمجيات والتكاملات حضور كبير، كما أن معظم طلبات قطاع البرمجيات أعادت HTTP 200 قبل الاضطراب وخلاله. يستضيف ASN سحابي أعباء عمل العملاء؛ ولا يصح استخدام اسم الشبكة بديلاً عن الحكم على سلوك كل عبء.

مع ذلك رصدت Cloudflare تراجع فئات محددة ذات ملامح هجومية: انخفضت حركة الروبوتات من AS200350 بنحو 40%، وفحص إضافات WordPress بنسبة 90%، والطلبات التي حددتها الماسحات بنسبة 93%، كما انخفضت عمليات الحظر التي نفذها العملاء ضد حركة Yandex.Cloud بنسبة 70%. ضمن النطاق الذي تراه Cloudflare، انقطعت بالفعل حركة قادمة من هذا النظام. لكن ذلك لا يجيب بعد عن سؤال توقف عملية بعينها.

لمعالجة هذا السؤال، تابع التقرير الطلبات إلى حساب عميل واحد في قطاع المراهنات. ووفقاً لـ Cloudflare، استهدفت تقريباً كل طلبات الروبوتات من Yandex.Cloud في هذه الفئة ذلك الحساب عبر أسماء مضيفيه المختلفة. بعد اضطراب 8 أكتوبر، أصبح عدد الطلبات من AS200350 إلى الحساب صفراً. وفي الوقت نفسه رصدت Cloudflare لدى أنظمة استضافة روسية أخرى، منها Radist وSelectel، طلبات تحمل بصمة TLS JA4 نفسها، ومسارات وترويسات غير مألوفة، ووكلاء مستخدم مخصصين. وارتفع إجمالي حركة الروبوتات الروسية المتجهة إلى حسابات المراهنات في العينة من 167.7 مليون طلب قبل الحدث إلى 170.1 مليون خلاله، أي 1.4%.

يوفر ذلك دليلاً على الاستمرارية أدق من مقارنة منحنيات وطنية: ظهرت خصائص متطابقة متعددة عند الحساب نفسه بعد أن خفت ظهور نظام المصدر السابق. وهذا يدعم تفسير Cloudflare بأن الحركة المرصودة انتقلت. لكن نطاق الاستنتاج يظل محدوداً. فلا يثبت انتقال كل الروبوتات، ولا يحدد المشغل، ولا يكشف القصد من بصمة واحدة، ولا يقيس المواقع خارج شبكة Cloudflare. بصمة JA4 قرينة تقنية على الاستمرارية وليست هوية شخص. وتقول Cloudflare نفسها إن الحكم على أي صلة بالتلاعب عبر وسائل التواصل يتطلب بيانات من خارج شبكتها.

وتتطلب الأرقام الإجمالية إظهار مقام النسبة. أفادت Cloudflare بأن الطلبات الآلية شكلت 39.4% من حجم طلبات HTTP العالمية بين 1 و6 أكتوبر، و39.5% في يومي 11 و13 أكتوبر. أما الطلبات ذات المصدر الروسي، فانخفضت حصتها من 50.4% إلى 42.2% في 11 أكتوبر، ثم 42.1% في 13 أكتوبر. هذه نسب من الطلبات المرصودة، وليست أعداداً مطلقة للروبوتات أو الأشخاص. ويمكن أن يستقر المؤشر العالمي بينما تنخفض النسبة الإقليمية، وينهار نظام واحد، وتنتقل عملية تستهدف حساباً معيناً.

الدرس التشغيلي هو الفصل بين الأسئلة. أولاً: هل انقطع مسار المزود؟ ثم: هل توقف السلوك المقلق، أم تغير هدفه، أم انتقل إلى استضافة أخرى؟ يتطلب الجواب الثاني خط أساس متزامناً زمنياً وأدلة مرتبطة بالوجهة وخصائص الطلبات، لا إجمالي ASN فقط. وقد يؤدي انهيار شبكة المصدر إلى تراجع اكتشاف المحتوى وتعطيل عملاء سحابيين عاديين حتى إن استمرت عملية هجومية عبر شبكة أخرى.

تُستخدم Note 65 لهينغ لو، «Running-Code Primacy»، هنا كمنظور تحريري فقط: ينبغي تقييم النظام بما تفعله مكوناته العاملة فعلياً، لا بملصقات تحل محل السلوك. وهي ليست دليلاً على Yandex أو Cloudflare أو الحادث. والتطبيق محدود: يحدد مخطط ASN المسار؛ أما أدلة مستوى الطلب فتساعد على فهم ما مر عبره وما حدث بعد تعطله.

المصادر: تحليل Cloudflare للاضطراب؛ بيان Yandex في 9 أكتوبر؛ بيان Yandex للمستثمرين في 11 أكتوبر؛ وثائق Cloudflare عن الروبوتات الموثقة؛ Note 65 لهينغ لو; واجهة حركة Cloudflare Radar.