Cloudflare: Yandex kesintisi kötü niyetli botları çevrimdışı bırakmadı, başka sağlayıcılara taşıdı

Ne oldu

7–11 Ekim arasında bildirilen Ukrayna drone saldırıları Rusya'daki üç Yandex tesisini — Sasovo, Kaluga ve Vladimir — vurarak veri merkezlerini ve ağ kapasitesini kademeli olarak devre dışı bıraktı. Cloudflare'ın blog yazısına göre kesinti, 11 Ekim'de doruğa ulaştı; Cloudflare Radar üzerindeki trafik Yandex Search (AS13238) için taban değerinin %99 altına, Yandex.Cloud (AS200350) için %90 altına düştü. Her iki ağ da 13 Ekim'e kadar normalin %86–90 altında kaldı.

Bu dik trafik düşüşleri, Rus bot çiftliklerinin ve nüfuz operasyonlarının çevrimdışı kaldığı yönünde çevrimiçi iddialara yol açtı. Cloudflare'ın Radar ve Bot Management verileri üzerindeki analizi farklı bir sonuca ulaşıyor: kötü niyetli otomasyon büyük ölçüde ortadan kaybolmak yerine diğer hosting sağlayıcılarına taşındı.

İki ağ, iki farklı hikâye

Cloudflare etkisini otonom sistem bazında ayırıyor, çünkü iki Yandex ağı çok farklı roller üstleniyor.

Yandex Search (AS13238) bir tarama ağıdır. Cloudflare taleplerinin %99,5'ini otomatik, bot taleplerinin %93,6'sını Verified (doğrulanmış) olarak sınıflandırdı. Örneklenen trafikte YandexBot (%78,1), YandexRenderResourcesBot (%11,5) ve YandexImages (%1,9) baskındı — bu davranış bir arama indeksleyicisiyle tutarlı. Müşteri dikeyleri arasındaki en dik düşüş Yayıncılık ve Gazetelerde yaşandı; Yandex ağlarından gelen trafik %44 azaldı; bu ASN'nin etkinlik öncesi haber sitelerine olan trafiğinin yaklaşık %90'ı makaleleri indeksleyen YandexBot'tu ve Cloudflare müşterilerinin %40,5'i tarayıcıyı engellediği için HTTP 403 ile yanıt verdi. Web siteleri açısından pratik etki, Yandex'in indekslemesinin azalması oldu.

Yandex.Cloud (AS200350) çok farklı bir bileşime sahip bir hosting ağıdır. Puanlanan taleplerinin yaklaşık %95'i bottu ve hiçbiri Cloudflare tarafından doğrulanmadı. Bu botlar yazılım uygulamaları gibi davrandı: taleplerinin neredeyse üçte ikisi web sitelerine veri gönderiyordu ve bir kısmı kendini JavaScript, Python veya Go programı olarak tanıtıyordu. Saldırılardan sonra bu ASN'den gelen bot trafiği kabaca %40 düştü; WordPress eklentisi yoklamaları %90, tarayıcı tarafından işaretlenen talepler %93, trafiğine uygulanan Cloudflare müşteri engellemeleri %70 azaldı — oran olarak daha az kötü niyetli trafik WAF'e kadar ulaşıyordu.

Cloud ASN'sinin bot trafiğinin büyük bölümü iki dikeyi hedefliyordu. api.cloudflare.com çağrılarını içeren ve çoğunlukla 200 dönen bilgisayar yazılımı trafiği meşru kullanıma işaret ediyor. Kumar ise hikâyenin döndüğü yer.

Göçü gösteren parmak izleri

Yandex.Cloud'un bot taleplerinin neredeyse tamamı tek bir kumar müşteri hesabına, hostname'leri arasında gezinerek gidiyordu. 8 Ekim kesintisinin hemen ardından bu hesaba Yandex.Cloud'dan gelen bot talepleri sıfıra düştü — ve aynı anda, Radist ve Selectel dahil diğer Rus hosting ASN'lerinden özdeş talepler gelmeye başladı. Talepler Cloudflare'ın kontrol ettiği her sinyalde sağlayıcılar arasında eşleşiyordu: aynı JA4 TLS client parmak izi, aynı yaygın olmayan istek yolları ve HTTP başlıkları, aynı özel User-Agent dizileri.

Hafta boyunca kumar hesaplarını hedefleyen Rus bot trafiği essentially sabit kaldı; 167,7 milyon talepten 170,1 milyon talebe (+%1,4) hareket etti. Otomasyon hiç durmadı; operatörler onu taşıdı.

Küresel bot trafiği neredeyse kımıldamadı

Cloudflare'ın rakamlarına göre küresel bot taleplerinin payı 1–6 Ekim taban döneminde tüm HTTP taleplerinin %39,4'üydü ve 13 Ekim'e kadar yalnızca %39,2 ile %39,6 arasında dalgalandı. Rusya kaynaklı talepler içindeki bot payı %50,4'ten kabaca %42'ye düştü; ancak Cloudflare bunu büyük ölçüde Yandex'in kendi otomatik trafiğinin kaybına bağlıyor, çünkü bu ağlardan gelen taleplerin neredeyse tamamı bottu. Cloudflare, kötü niyetli trafikte küresel bir aksaklığın Yandex düşüşüyle bağlantısına dair kanıt bulamadı. İki ASN zaten küçük katkılıydı: Rusya kaynaklı bot taleplerinin sırasıyla yaklaşık %7'si ve %2'si, küresel toplamın ise yalnızca %0,05'i ve %0,01'i.

Cloudflare iki yönde kesen bir uyarı ekliyor: belirli bir sağlayıcıdan gelen trafik, o trafikten kimin sorumlu olduğunu söylemez.

Neden önemli

• Toplam HTTP trafik grafikleri bir arama tarayıcısını bir saldırı aracından ayırt edemez. Yalnızca istek düzeyinde davranışsal analiz — parmak izleri, yollar, başlıklar — gerçekte kimin etkilendiğini ortaya çıkarır.
• Kötü niyetli operatörler hostingi birbiri yerine geçebilir olarak görür. Bir sağlayıcıyı çevrimdışı bırakmak iş yüklerini yok etmek yerine yerinden eder; Radist ve Selectel kumar otomasyonunu neredeyse anında devraldı.
• Bu nedenle IP ve ASN tabanlı engelleme yapısal sınırlara sahiptir. JA4 parmak izleri ve özel User-Agent gibi sinyaller operatörle birlikte hareket eder ve göç sonrasında tespit edilebilir kalır; zaten bu hikâyeyi ortaya çıkaran da buydu.
• Kesintinin ölçülebilir ana kaybı zararsızdı: azalan Yandex arama indekslemesi; bunu en çok haber ve yayıncılık siteleri hissetti.