Yandex障害で減ったのは、どんなボットだったのか

要点

• Yandex Searchで失われた通信の大半は、検証済み検索クローラーによるものだった。クラウド側には通常のアプリと疑わしい自動処理が混在していた。
• ある賭博分野の顧客アカウントでは、複数の特徴が一致するリクエストが他社網から現れた。観測対象の移動を裏づけるが、操作者の特定やインターネット全体の説明にはならない。

ニュースを公開したサイトに、検索エンジンのクローラーが来ない。通信量だけを見れば、これも「ボットが減った」に含まれる。脆弱性を探るリクエストが減るのとは、サイト側にとって意味が違う。

10月のYandex障害は、その違いを鮮明にした。Cloudflareが14日に公表した分析によると、検索ネットワークから消えた通信の多くはページを検索に取り込む作業だった。一方、クラウドから届かなくなった疑わしいリクエストの一群は、別のネットワークを通じて同じ顧客に現れた。

止まった経路を数えるだけでは、止まった仕事は分からない。

検索サービスのために働くボット

分析は、Yandex SearchのAS13238とYandex.CloudのAS200350を区別している。ASNは自律システム、つまりネットワークを識別する番号であり、そこで動くプログラム一つひとつの所有者を示すものではない。

検索側では、観測されたリクエストの99.5％が自動化と判定され、そのボット通信の93.6％がCloudflareの検証済み分類だった。YandexBot、YandexRenderResourcesBot、YandexImagesが含まれ、ページの取得や描画、画像の処理という検索向けの働きと整合する。障害前、このASNからニュースサイトへ届く通信の約90％は、記事をインデックスに取り込むYandexBotだったという。

この流れが減れば、Yandex検索に向けたクロールとコンテンツ発見も減る。「攻撃が消えた」と言い換えられる数字ではない。記事の閲覧数や収入にどれだけ影響したかまでは、示されていない。

施設の被害については、Yandexが9日の発表で説明した。7日から8日にかけての夜のドローン攻撃でサソヴォが大きく損傷して停止し、9日にはカルーガでも一部の設備が使えなくなったとする。11日の追記ではウラジーミルの施設停止も報告した。これは同社による施設状況の説明で、クラウドの各利用者の活動を特定する資料ではない。

Cloudflareの測定では11日の通信量が、検索側で基準値より99％、クラウド側で90％少なくなった。13日も両ネットワークは86～90％少ない状態だった。報告中の14日18時UTCの観測は、通常の85％に戻ったとしている。あくまで当時の測定であり、現在の稼働を保証する数字ではない。

未検証のアプリも同じクラウドを使う

クラウド側では、スコア対象リクエストの約95％がボットと判定されたものの、観測されたボットに検証済みのものはなかった。だからといって、全てが攻撃だったことにはならない。Cloudflareの検証は身元の提示や非侵害的な振る舞いについての分類であり、該当しないアプリ全てへの有罪判定ではない。

リクエストの3分の2近くはサイトへデータを送っていた。ソフトウェアや連携機能が目立ち、ソフトウェア分野の通信は障害前も最中も過半数がHTTP 200を受け取った。これはHTTP上の成功を示す応答で、無害さの証明ではない。それでも、通常の業務アプリが使う共用ネットワークという姿を読み取れる。

疑わしい動きの減少もあった。AS200350のボット通信は約40％、WordPressプラグインの探査は90％、スキャナーと判定されたリクエストは93％減少。Cloudflare顧客によるYandex.Cloud通信の遮断も70％減った。対象の異なる数字なので足し合わせることはできず、各処理がどこで終わったかも、それだけでは分からない。

同じ宛先で見つかった続き

そこで意味を持つのが、賭博分野のある顧客アカウントだ。Yandex.Cloudからこの分野へ送られたボット通信のほぼ全ては、このアカウントの複数のホスト名に向かっていた。8日の中断後、その旧来の発信元はゼロになったが、RadistやSelectelなど他のロシアのホスティング網から、特徴の一致する通信が届いた。

JA4というTLS指紋に加え、珍しいリクエストのパスやヘッダー、独自のUser-Agent文字列が一致していた。JA4はクライアントの暗号化接続の特徴を表すもので、人を識別する番号ではない。複数の特徴が同じ宛先で継続したことが、Cloudflareの移動という解釈を支える。

より広い賭博アカウントの集計では、ロシア発ボット通信が1億6,770万件から1億7,010万件へ1.4％増えた。これは先の一アカウントの件数ではない。全ボットの移動も、Yandex自身が操作していたことも証明しない。

同じ注意は割合にも必要だ。報告の日付別の表では、観測された世界のHTTPリクエスト中、自動化の比率は1～6日に39.4％、11日と13日に39.5％だった。ロシア発のHTTPリクエスト内では50.4％、42.2％、42.1％となる。分母の違う割合であり、人や操作者の人数ではない。世界全体の割合がほぼ変わらなくても、一地域の低下や一顧客での継続は起こり得る。

Radarの通信量表示は測定の背景を示すが、Cloudflareの外まで観測範囲を広げるものではない。同社はソーシャルメディア操作がこの障害で麻痺したという主張を自社データは支持しないとしつつ、広い関連性の判断には外部データが必要だとしている。

Lu HengのNote 65は、稼働する仕組みとインターネット番号のガバナンスを論じたもので、この事件の証拠ではない。ここでは、名称より実際の動きを重んじるという編集上の視点だけを借りる。サイトにとって重要なのは、通信量が減ったかどうかに加え、来なくなったのがどんな仕事で、今も来ているのがどんな仕事か、という違いなのだ。