얀덱스 전산망 파괴해도 봇 공격은 다른 서버로 옮겨갔다
원제 Yandex outage: data shows that instead of going dark, malicious bots moved
192 포인트댓글 60
Key Point
물리적 인프라 타격이 악성 자동화 위협을 근절하지 못한다는 점을 실데이터로 보여주며, 클라우드 환경에서 위협 대응 전략을 바꿔야 함을 시사한다.
핵심 요약
- 우크라이나의 드론 공격으로 얀덱스 데이터센터가 10월 7~13일 마비되어 트래픽이 85~90% 감소했다.
- 얀덱스는 검색 엔진(AS13238)과 클라우드 서비스(AS200350) 두 개 ASN으로 나뉘어 운영되며 각각 다른 영향을 받았다.
- 검색 엔진 ASN의 트래픽 감소는 거의 전부 검증된 크롤러(YandexBot 등)의 활동 중단으로, 뉴스 사이트 크롤링이 44% 떨어졌다.
- 클라우드 ASN의 악성 자동화 트래픽(취약점 스캔, 플러그인 프로빙 등)은 일시적으로 감소했지만 사라지지 않았다.
- 도박 사이트를 겨냥한 봇 공격은 Yandex.Cloud 차단 직후 Radist, Selectel 같은 다른 러시아 호스팅 제공자로 즉시 이동했다.
- 공격 봇들은 동일한 JA4 TLS 지문, 동일한 요청 경로, 동일한 User-Agent를 유지하며 이동했고, 전체 러시아 발신 도박 타겟 트래픽은 주간 동안 167.7억→170.1억 요청으로 거의 변하지 않았다.
- 소셜미디어 조작 트래픽은 예상과 달리 러시아발 트래픽이 0.6% 감소, 전역 트래픽이 1.2% 증가했으며, 관련 엔드포인트 분석에서도 의외의 변화가 없었다.
- 물리 인프라 파괴는 특정 서버의 요청을 중단시킬 뿐, 클라우드 워크로드는 이동성이 높아 운영자들이 수 시간 안에 다른 제공자로 마이그레이션할 수 있다.
- ASN 트래픽 볼륨만으로는 봇 행동을 신뢰하게 판단할 수 없으며, JA4 지문, 비정상적 요청률, WAF 규칙 적용 등 요청 행동 검사가 필수다.