Summary

  • Падение трафика Yandex Search в основном означало исчезновение проверенных поисковых роботов; в выборке Yandex.Cloud одновременно присутствовали обычные приложения и автоматизация с признаками атаки.
  • После того как запросы с AS200350 к одной клиентской учётной записи прекратились, в других российских сетях размещения появились запросы с теми же JA4, путями, заголовками и User-Agent. Это подтверждает перенос наблюдаемого потока, но не раскрывает оператора и не описывает весь интернет.

Номер автономной системы (ASN) указывает сеть, из которой пришёл запрос. Сам по себе он не говорит, что запрос делал, кто им управлял и продолжилась ли эта работа в другом месте. Октябрьский сбой вокруг Yandex наглядно показывает разницу: поисковая сеть и облачный хостинг потеряли трафик, но автоматизация, проходившая через них, выполняла разные задачи и оставила разные следы.

Cloudflare опубликовала анализ 14 октября, используя данные Radar и Bot Management собственной сети. По данным компании, 11 октября трафик Yandex Search (AS13238) был на 99% ниже базового уровня, а Yandex.Cloud (AS200350) — на 90%. К 13 октября обе сети оставались на 86–90% ниже нормы; в 18:00 UTC 14 октября Cloudflare оценивала трафик в 85% обычного уровня. Это измерения одного поставщика, а не перепись российского интернета.

Причину также важно атрибутировать аккуратно. Yandex публично сообщила об ущербе и перебоях в работе объектов в Сасове, Калуге и Владимире; Cloudflare датирует сообщённые удары периодом с 7 по 11 октября. Физическое событие помогает объяснить потерю сетевой мощности. Оно не устанавливает, кто стоял за каждым запросом, ранее проходившим через эти сети, и не доказывает, что Yandex управляла трафиком, позднее замеченным у других хостеров.

Случай AS13238 проще. Cloudflare отнесла 99,5% наблюдаемых запросов этой системы к автоматизированным, а 93,6% бот-запросов — к проверенным. В выборке были YandexBot, YandexRenderResourcesBot и YandexImages — типичный набор для индексирования и отрисовки страниц. До сбоя около 90% трафика из этого ASN на новостные сайты составлял YandexBot, индексировавший статьи, сообщает Cloudflare. Когда маршрут исчез, прежде всего сократилось сканирование страниц и их обнаружение в поиске Yandex. Здесь «бот» в основном означал поисковую службу, выполняющую свою функцию, а не атаку.

Выборка Yandex.Cloud была разнообразнее. Cloudflare указала, что около 95% оценённых запросов были ботами, но ни один из наблюдавшихся бот-запросов не прошёл её проверку. Это не означает, что каждый запрос был вредоносным. Почти две трети запросов передавали данные сайтам; заметную долю составляли программы и интеграции, причём большинство запросов из сегмента ПО возвращали HTTP 200 как до сбоя, так и во время него. Облачный ASN несёт нагрузки клиентов, поэтому название сети не заменяет оценку поведения каждой нагрузки.

В то же время Cloudflare зафиксировала спад нескольких конкретных категорий с признаками атаки: бот-трафик из AS200350 снизился примерно на 40%, поиск уязвимых плагинов WordPress — на 90%, запросы, распознанные как сканеры, — на 93%; блокировки клиентами трафика Yandex.Cloud сократились на 70%. В границах наблюдения Cloudflare поток из этой системы действительно прервался. Но это ещё не отвечает на вопрос, остановилась ли конкретная операция.

Чтобы проверить это, отчёт проследил запросы до одной клиентской учётной записи в сфере азартных игр. По словам Cloudflare, почти все бот-запросы Yandex.Cloud в этом сегменте направлялись к этой учётной записи через её разные хосты. После сбоя 8 октября запросы с AS200350 к ней исчезли. Одновременно в других российских сетях размещения, включая Radist и Selectel, Cloudflare обнаружила запросы с тем же TLS-отпечатком JA4, необычными путями и заголовками и собственными строками User-Agent. Российский бот-трафик к аккаунтам азартных игр в выборке вырос со 167,7 млн запросов до сбоя до 170,1 млн во время него, то есть на 1,4%.

Это более адресное свидетельство непрерывности, чем сравнение общенациональных графиков: несколько характеристик запросов вновь появились у того же клиента, когда прежний ASN перестал быть виден. Оно поддерживает вывод Cloudflare о переносе наблюдаемой активности. Но предел вывода остаётся узким. Данные не показывают, что переместились все боты, не называют оператора, не устанавливают намерение по одному отпечатку и не охватывают сайты за пределами Cloudflare. JA4 — техническая подсказка о сходстве запросов, а не личность человека. Сама Cloudflare отмечает, что для вывода о связи с манипуляциями в социальных сетях нужны данные вне её сети.

Агрегированные показатели тоже требуют явного знаменателя. По данным Cloudflare, с 1 по 6 октября автоматизированные запросы составляли 39,4% глобального объёма HTTP-запросов в её сети, а 11 и 13 октября — 39,5%. Среди запросов российского происхождения доля снизилась с 50,4% до 42,2% 11 октября и 42,1% 13 октября. Это доли наблюдаемых запросов, а не абсолютное число ботов или людей. Стабильная глобальная доля совместима с региональным снижением, обвалом одного ASN и переносом конкретного потока к одному клиенту.

Практический вывод — разделять вопросы. Сначала определить, оборвался ли маршрут через поставщика. Затем выяснить, прекратилось ли опасное поведение, сменило ли адрес назначения или переместилось к другому хостеру. Для второго ответа нужны синхронная временная база и признаки, связанные с получателями и запросами, а не только общий объём ASN. Падение исходной сети способно ухудшить обнаружение контента и работу обычных облачных клиентов, даже если отдельный подозрительный поток продолжается через другую сеть.

Note 65 Хэнга Лу «Running-Code Primacy» служит здесь только редакционной оптикой: оценивать систему по фактическому поведению работающих компонентов, а не по ярлыкам вместо поведения. Это не источник фактов о Yandex, Cloudflare или сбое. Применение ограничено: ASN-график помогает найти маршрут; данные запросов позволяют проверить, что по нему шло и что случилось после его отказа.

Источники: анализ Cloudflare; сообщение Yandex от 9 октября; заявление Yandex для инвесторов от 11 октября; документация Cloudflare о проверенных ботах; Note 65 Хэнга Лу; страница трафика Cloudflare Radar.