摘要

  • Yandex Search 减少的流量主要来自已验证的搜索爬虫；Yandex.Cloud 则同时承载普通应用、集成服务和带有攻击特征的自动化请求。
  • 一个博彩客户账户的请求换了托管网络，却保留多项相同特征。这支持局部活动发生迁移，不等于找到了操作者，更不能代表整个互联网。

“机器人少了”，未必是个好消息。

如果少的是替搜索引擎抓取新闻的爬虫，文章就少了一条被发现的路径。如果少的是探测网站漏洞的请求，网站经营者自然更愿意看到这个结果。而在 Yandex 10 月的网络中断中，Cloudflare 观察到了第三种情况：原来的网络不再发来请求，同一个客户却从别的网络收到了特征相同的请求。

把它们统称为机器人流量下降，恰好会抹掉最值得读的部分。

同一家公司，两种网络用途

事件首先是实际的设施中断。Yandex 在 10 月 9 日声明中说，萨索沃数据中心于 7 日至 8 日夜间遭无人机袭击后严重受损并停运，卡卢加设施在 9 日遭袭，部分基础设施停用。11 日更新的投资者公告又报告了弗拉基米尔设施停运。这是 Yandex 对自身设施的说明，不能用来判断此前每项云端任务由谁控制。

Cloudflare 于 14 日发布的分析把两个自治系统分开看。自治系统编号，也就是 ASN，标识的是网络：AS13238 用于 Yandex Search，AS200350 用于 Yandex.Cloud。11 日，两者流量分别比基线低 99% 和 90%；13 日仍低 86% 至 90%。报告在 14 日 18:00 UTC 的补充观测中，记下流量回到正常水平的 85%。这些数字是当时 Cloudflare 所见，不是今天的服务恢复承诺。

搜索网络掉下去的，很大一部分是有用的工作。Cloudflare 将 AS13238 的 99.5% 观测请求归为自动化，其中 93.6% 的机器人请求属于已验证类别。样本中的 YandexBot、YandexRenderResourcesBot 和 YandexImages，分别与抓取文章、渲染页面和处理图像等搜索工作相符。故障前，这个网络发往新闻网站的流量约有 90% 是 YandexBot 在索引文章。

因此，曲线骤降首先意味着抓取和内容发现减少，不能直接读成“攻击被清除了”。对于新闻网站，失去搜索爬虫，与少挨一次扫描，根本不是同一笔账。

云端没有一张统一的身份证

Yandex.Cloud 的情况更杂。约 95% 的已评分请求被 Cloudflare 归为机器人，观测到的机器人请求却没有获得它的验证标记。这项验证有自己的身份与行为标准；没有标记，并不自动构成恶意行为的证据。

接近三分之二的请求在向网站发送数据，软件和集成应用占有明显份额。软件行业的大多数请求在事件前后都返回 HTTP 200，也就是协议层面的成功响应。这不足以担保每项活动都无害，但提醒读者：这里还运行着普通客户的程序，不能给整张网络贴上同一个动机标签。

带有攻击特征的活动也确实减少了。报告给出的降幅是：AS200350 的机器人流量约 40%，WordPress 插件探测 90%，被识别为扫描器的请求 93%，客户对 Yandex.Cloud 流量的拦截 70%。它们统计的不是同一件事，不能相加，也不能据此宣布所有相关任务结束。

到客户这一端，故事有了转折

Cloudflare 接着观察了一个博彩客户账户。Yandex.Cloud 在这个行业的机器人请求几乎全部集中到该账户的不同主机名。8 日中断以后，从 AS200350 发来的请求降为零；同时，Radist、Selectel 等俄罗斯托管网络开始送来具有相同特征的请求。

相同之处不只一个：JA4 TLS 指纹相同，罕见的请求路径和请求头相同，自定义 User-Agent 字符串也相同。JA4 刻画客户端建立加密连接时的特征，不是一个人的身份证。这里有说服力的是多项特征在同一个目标上延续，而不是单凭指纹认人。

这支持 Cloudflare 对该组活动迁移的判断。它没有证明所有机器人都换了家，也没有证明 Yandex 是操作者。另一个较大范围的数字需要分开读：在 Cloudflare 的博彩客户样本中，俄罗斯来源机器人请求从事件前的 1.677 亿增至事件期间的 1.701 亿，增加 1.4%。这是博彩账户这一范围的合计，不是上面那个单一账户的请求量。

全国乃至全球曲线，也不能替单个客户回答问题。报告的日期表按全部 HTTP 请求统计：10 月 1 日至 6 日，Cloudflare 所见全球请求中的自动化比例是 39.4%，11 日和 13 日均为 39.5%；在俄罗斯来源请求内部，相应比例是 50.4%、42.2% 和 42.1%。分母不同、观察层级不同，全球比例稳定、地区比例下降、一个客户仍收到可疑流量，完全可以同时发生。

Radar 流量页提供测量背景，不意味着 Cloudflare 看见了互联网的全部活动。该公司说，它的观测不支持“这次中断重创了社交媒体操纵”的说法，同时保留一个重要边界：要判断更广泛的联系，还需要它网络之外的数据。

Lu Heng 的第 65 篇笔记讨论运行中的系统与互联网号码治理，本文只借用其重视实际运行证据的观察角度；它不是这次故障的事实来源。回到眼前的请求，网络名称回答“从哪里来”，客户真正关心的却是“还在做什么”。前一个答案变了，后一个答案未必跟着变。