Кратко

  • На Yandex Search сокращалось прежде всего проверенное поисковое индексирование. В облачной сети соседствовали обычные приложения и автоматизация с признаками атак.
  • Совпадение нескольких характеристик запросов у одного клиента поддерживает вывод о переносе наблюдаемой активности. Оно не устанавливает личность оператора и не описывает весь интернет.

Для сайта, получающего подозрительные запросы, отказ их прежнего хостинга ещё не повод закрыть вопрос. Если те же характерные запросы приходят из другого места, у сайта остаётся прежняя задача — понять, что происходит у него, а не только у провайдера. Cloudflare обнаружила такой эпизод после октябрьского сбоя Yandex.

Этот клиент работал в сфере азартных игр. Почти все бот-запросы Yandex.Cloud к этому отраслевому сегменту были направлены на его аккаунт с несколькими именами хостов. После перебоя 8 октября прежний источник обнулился. Одновременно запросы с совпадающими признаками пошли через сети, включая Radist и Selectel.

Cloudflare описала случай 14 октября. Он интересен не масштабом одного графика, а возможностью проследить продолжение на другом: адресат остался тем же, хотя сеть отправления сменилась.

Совпали не только цифры объёма

Компания увидела одинаковый TLS-отпечаток JA4, необычные пути запросов и заголовки, а также собственные строки User-Agent. JA4 характеризует то, как клиент устанавливает зашифрованное соединение. Это не удостоверение личности человека.

Несколько совпадений у того же получателя дают Cloudflare основание говорить о переносе наблюдаемой активности. Просто похожих национальных кривых для такого вывода было бы недостаточно. Но даже эта более точная связь не доказывает, что Yandex управляла запросами, что переехали все боты или что то же самое происходило за пределами сети Cloudflare.

Отдельный, более широкий подсчёт касается российских бот-запросов ко всем аккаунтам азартных игр в выборке. Их стало 170,1 млн против 167,7 млн до события — рост на 1,4%. Это не объём у одного описанного клиента. Смешав эти два масштаба, легко сделать историю более впечатляющей и менее точной.

А поисковым роботам досталась другая роль

История клиента показывает, как подозрительный поток мог продолжиться. Но она не объясняет весь трафик, потерянный Yandex. Для этого нужно вернуться к другой работе той же компании — поиску. Там исчезновение ботов означало не смену хостера у подозрительных запросов, а сокращение полезных посещений.

До сбоя примерно 90% трафика поисковой сети Yandex к новостным сайтам составлял YandexBot, индексировавший статьи. В выборке были также YandexRenderResourcesBot и YandexImages, выполнявшие работу со страницами и изображениями. Для издателя это часть пути, по которому материал попадает в поиск.

Cloudflare различала поисковую сеть AS13238 и облачную AS200350 по номерам автономных систем, ASN. Номер обозначает сеть, а не каждого клиента облака. На поисковой стороне 99,5% наблюдаемых запросов были автоматизированными; 93,6% бот-запросов отвечали критериям Cloudflare для проверенных роботов — честного обозначения себя и поведения без злоупотреблений. Поэтому падение этого потока нельзя выдавать за устранение такого же объёма атак.

Когда таких посещений становится меньше, сокращается обход страниц и обнаружение материалов в поиске Yandex. Это не то же самое, что уменьшение числа попыток найти уязвимость. Для издателя полезно, чтобы сканер перестал приходить, но исчезновение поискового робота имеет другую цену — без установленной здесь суммы убытка или падения аудитории.

Сами перебои были связаны с повреждениями объектов, о которых сообщила Yandex. В заявлении от 9 октября компания описала серьёзный ущерб и остановку Сасова после атаки беспилотников в ночь с 7 на 8 октября, а также выход части инфраструктуры Калуги из строя после атаки утром 9-го. В обновлении от 11 октября добавилась остановка объекта во Владимире. Это сведения компании о её площадках, а не установление владельцев всех размещённых программ.

По измерениям Cloudflare, 11 октября поисковая сеть была на 99% ниже исходного уровня трафика, облачная — на 90%. На 13 октября отставание обеих оставалось в пределах 86–90%. Позднейшая отметка отчёта, 14 октября в 18:00 UTC, показывала 85% нормального уровня. Эти наблюдения относятся к указанным датам и не заменяют нынешнюю проверку доступности.

В облаке работали и обычные приложения

Около 95% оценённых запросов Yandex.Cloud Cloudflare признала ботами, но проверенных бот-запросов в выборке не было. Отсутствие статуса не делает каждый из них вредоносным. Проверка Cloudflare имеет собственные критерии идентификации и поведения, а не охватывает заранее все добросовестные программы.

Почти две трети запросов передавали данные сайтам. Заметное место занимали программные приложения и интеграции; большинство запросов в сегменте ПО получали HTTP 200 как до события, так и во время него. Это успешный ответ на уровне протокола, не свидетельство безусловно благих намерений. Но он помогает увидеть привычную работу клиентов, которую скрывает общее слово «боты».

Подозрительные категории тоже сократились. Cloudflare сообщила о падении бот-трафика AS200350 примерно на 40%, зондирования плагинов WordPress — на 90%, распознанных сканерных запросов — на 93%. Клиентских блокировок трафика Yandex.Cloud стало на 70% меньше. У этих показателей разные основания; их нельзя складывать или считать числом окончательно прекращённых операций.

В таблице отчёта по датам автоматизация занимала 39,4% мирового объёма наблюдаемых HTTP-запросов 1–6 октября и 39,5% 11 и 13 октября. Внутри запросов российского происхождения доля составляла соответственно 50,4%, 42,2% и 42,1%. Это доли запросов, не число людей. Глобальная стабильность, региональное снижение и продолжение потока у одного получателя вполне совместимы.

Radar даёт контекст измерений, но не превращает клиентскую выборку Cloudflare в весь интернет. Компания не нашла поддержки утверждению, что сбой парализовал манипуляции в соцсетях, и одновременно оговорила необходимость внешних данных для более широкого вывода о связи.

Редакционная параллель с Note 65 Lu Heng касается приоритета фактической работы систем над ярлыками. Текст посвящён управлению интернет-номерами и не исследует этот сбой. Здесь достаточно прикладного вопроса: что перестало доходить до сайта, а что доходит по-прежнему? Название прежнего хостера не ответит за получателя.