Yandex 네트워크 장애, 악성 봇 활동은 중단 아닌 마이그레이션 확인

네트워크 장애와 봇 활동 변화

2023년 10월 7일부터 11일까지 보고된 우크라이나 드론 공격으로 러시아 내 Yandex 시설 3곳이 타격을 입어 데이터센터와 네트워크 용량이 순차적으로 중단되었다. 이로 인해 10월 11일 Yandex 네트워크는 거의 완전히 마비되었으며, Yandex Search(AS13238) 트래픽은 기준선 대비 99%, Yandex.Cloud(AS200350) 트래픽은 90% 급감했다. 이러한 네트워크 중단은 10월 13일까지 이어졌으며, 10월 14일 18:00 UTC 기준 트래픽은 정상 수준의 85%에 머물렀다.

초기에는 이러한 트래픽 급감으로 인해 러시아 봇 팜과 영향력 행사 작전이 중단되었다는 추측이 확산되었다. 그러나 클라우드플레어의 분석 결과는 이러한 추측과 다른 양상을 보였다. 전체 HTTP 트래픽 지표는 네트워크 중단을 확인했지만, 악성 봇 활동이 실제로 중단되었는지 여부는 명확히 밝히지 못했다. 클라우드플레어 레이더 및 봇 관리 데이터를 활용한 심층 분석 결과, 악성 봇 활동은 사라진 것이 아니라 다른 호스팅 제공업체로 이동한 것으로 확인되었다.

장애 발생 배경 및 분석 방법

Yandex 네트워크 장애는 10월 7일부터 11일 사이 사소보, 칼루가, 블라디미르 지역의 Yandex 시설에 대한 드론 공격으로 인해 발생했다. 이 사건은 Yandex 네트워크의 거의 완전한 붕괴로 이어졌으며, 광범위한 트래픽 감소를 초래했다. 이러한 상황에서 인터넷 상에서는 러시아의 악성 봇 활동이 마비되었다는 주장이 제기되었고, 클라우드플레어는 이 주장의 사실 여부를 확인하기 위해 Yandex와 관련된 두 개의 자율 시스템 번호(ASN)인 AS13238(Yandex Search)과 AS200350(Yandex.Cloud)의 트래픽 데이터를 분석했다.

클라우드플레어는 단순히 전체 트래픽 패턴이 아닌 요청 행동을 분석하여 악성 트래픽에 대한 공격의 지속적인 영향이 미미했던 이유를 파악하고자 했다. 장애 발생 전 기준선으로, 클라우드플레어 네트워크에서 관찰된 전 세계 HTTP 트래픽의 36.1%가 자동화된 요청이었으며, 러시아 IP 주소에서 발생한 트래픽의 35.8%가 자동화된 요청이었다. 이러한 분석은 두 ASN이 서로 다른 역할을 수행했기 때문에 자동화된 활동에 미치는 영향이 달랐음을 보여준다.

Yandex 서비스별 영향 상세

Yandex Search ASN(AS13238)은 주로 검색 엔진 크롤링에 사용되며, 클라우드플레어는 이 ASN의 요청 중 99.5%를 자동화된 것으로, 93.6%를 검증된 봇으로 분류했다. 분석 결과, 이 ASN의 트래픽은 웹 페이지 색인, 페이지 렌더링, 이미지 렌더링 등 검색 크롤러의 일반적인 행동과 일치했다. Yandex Search ASN은 러시아 발 봇 요청의 약 7%, 전 세계 총량의 0.05%를 차지했다.

이 ASN의 트래픽 감소는 거의 전적으로 검색 크롤링 활동의 감소로 나타났다. 샘플링된 요청 중 78.1%는 검증된 YandexBot, 11.5%는 YandexRenderResourcesBot, 1.9%는 YandexImages에 해당했다. 특히 출판 및 신문 산업 분야에서 Yandex 네트워크로부터의 트래픽이 44% 급감했으며, 뉴스 사이트로 향하는 트래픽의 약 90%는 YandexBot의 기사 색인 작업이었다. 이는 Yandex Search ASN이 오프라인 상태가 되면서 고객들이 Yandex로부터의 색인 활동이 줄어들었음을 의미한다.

반면, Yandex.Cloud ASN(AS200350)은 클라우드 호스팅 네트워크로, 매우 다른 자동화 트래픽 구성을 보였다. 이 ASN의 요청 중 약 95.0%가 봇이었으나, 클라우드플레어에 의해 검증된 봇 요청은 없었다. Yandex.Cloud의 봇은 소프트웨어 애플리케이션과 유사한 특성을 보였으며, 요청의 거의 3분의 2가 웹사이트로 데이터를 전송했고 일부는 JavaScript, Python, Go 프로그램으로 식별되었다. 이 ASN은 러시아 발 봇 요청의 약 2%, 전 세계 총량의 0.01%를 차지했다.

Yandex.Cloud의 봇 트래픽은 보고된 공격 이후 약 40% 감소했다. 특히 워드프레스 플러그인 프로빙은 90%, 스캐너로 식별된 요청은 93% 급감하는 등 공격성 활동 범주에서 현저한 감소가 나타났다. 또한, 클라우드플레어 고객의 Yandex.Cloud 트래픽 차단율도 이벤트 기간 동안 70% 감소하여, 이 ASN에서 클라우드플레어 WAF에 도달하는 악성 트래픽의 비율이 비례적으로 줄었음을 시사한다.

악성 봇 활동의 이동 양상

Yandex.Cloud의 봇 트래픽을 산업별로 세분화했을 때, 컴퓨터 소프트웨어와 도박 산업이 가장 큰 비중을 차지했다. 컴퓨터 소프트웨어 분야는 타사 애플리케이션 및 소프트웨어 통합을 호스팅하는 ASN의 특성상 예측 가능한 결과였다. 실제로 api.cloudflare.com은 Yandex.Cloud 요청 트래픽의 주요 호스트명 중 하나였으며, 이벤트 전후 모두 대부분의 트래픽이 성공적으로 처리되어 합법적인 사용을 나타냈다.

도박 부문은 악성 자동화가 사라진 것이 아니라 재배치되었다는 가장 명확한 증거를 제공한다. Yandex.Cloud의 봇 요청 대부분은 단일 도박 고객 계정을 대상으로 했으며, 트래픽은 해당 호스트명 간에 이동했다. 10월 8일 중단 직후, Yandex.Cloud에서 이 계정으로 향하는 봇 요청은 0으로 떨어졌다. 동시에 Radist 및 Selectel을 포함한 다른 러시아 호스팅 ASN에서 동일한 요청이 나타나기 시작했다.

이러한 이동된 트래픽은 제공업체 전반에 걸쳐 동일한 특징을 유지했다. 동일한 JA4 TLS 클라이언트 지문, 동일한 비정상적인 요청 경로 및 HTTP 헤더, 동일한 사용자 정의 User-Agent 문자열이 관찰되었다. 전반적으로 도박 계정을 대상으로 하는 러시아 봇 트래픽은 해당 주 동안 1억 6,770만 건에서 1억 7,010만 건으로 1.4% 증가하며 거의 변동이 없었다. 이는 자동화된 작업이 중단되지 않고, Yandex.Cloud를 사용할 수 없게 되자 운영자들이 단순히 워크로드를 다른 클라우드 제공업체로 마이그레이션했음을 의미한다.

대부분의 산업에서 Yandex.Cloud에서 발생하는 봇 요청 중 HTTP 4xx 응답을 반환하는 비율이 감소했다. 이는 위에서 언급된 공격성 트래픽의 감소에 주로 기인한다. 이러한 현상은 도박 고객 분석과 결합하여, Yandex.Cloud를 통해 요청을 보내던 악성 트래픽이 서비스 중단 후 단순히 '서비스'를 다른 제공업체로 옮겼음을 보여준다.

소셜 미디어 트래픽 분석에서는 러시아 발 IP(이벤트 기간 동안 총 트래픽 0.6% 감소) 또는 전 세계적으로(총 트래픽 1.2% 증가) 예상치 못한 변화는 발견되지 않았다. 특정 소셜 미디어 플랫폼의 'post', 'reply', 'like' 엔드포인트를 대상으로 하는 봇 트래픽 분석에서도 유사하게 예상치 못한 변화는 없었다. 따라서 이번 공격이 소셜 미디어 조작을 마비시켰다는 주장을 뒷받침하는 데이터는 없는 것으로 평가된다.

분석의 시사점 및 한계

Yandex 네트워크 트래픽이 붕괴되었을 때, 러시아의 영향력 행사 작전과 악성 봇넷이 치명적인 타격을 입었다는 추측이 인터넷에 퍼졌다. 그러나 클라우드플레어 데이터는 다른 이야기를 제시한다. 클라우드플레어 네트워크 전반에서 이번 공격이 소셜 미디어 조작을 중단시키거나 인터넷상의 악성 활동을 방해했다는 증거는 발견되지 않았다. 대신, 데이터는 검색 색인 활동의 감소와 악성 자동화의 마이그레이션을 명확히 보여주었다.

검색 색인 활동은 감소했다. Yandex Search ASN에서 감소한 트래픽의 압도적인 대다수는 뉴스 기사와 웹 자산을 가져오는 검증된 YandexBot 크롤러였다. 주요 영향은 Yandex Search에서의 콘텐츠 발견 감소였다. 반면, 악성 자동화는 중단되지 않고 마이그레이션되었다. Yandex.Cloud에서 취약점 스캐닝 및 플러그인 프로빙이 일시적으로 감소했지만, 대량 자동화 작업은 빠르게 대체 호스팅 네트워크로 이동했다.

네트워크 중단은 특정 서버가 요청 전송을 중단했음을 의미하지만, 자동화된 위협이 사라졌음을 의미하지는 않는다. 클라우드 워크로드는 이식성이 뛰어나므로, 데이터센터가 중단되거나 IP 접두사가 차단될 경우 운영자는 몇 시간 내에 스크립트를 다른 제공업체로 마이그레이션할 수 있다. 이러한 분석은 클라이언트 ASN 트래픽 볼륨이 자동화된 봇 행동을 해석하는 데 신뢰할 수 없는 지표임을 상기시킨다.

자동화된 위협에 대한 방어는 요청이 어느 네트워크에서 시작되었는지와 관계없이 공유 JA4 지문 식별, 비정상적인 요청 속도 모니터링, 민감한 엔드포인트에 WAF 규칙 적용과 같은 요청 행동 검사를 요구한다. 물리적 인프라는 고정적이지만, 악성 자동화는 이동하도록 설계되어 있다. 이 분석은 클라우드플레어 네트워크 내의 데이터에 기반하며, 클라우드플레어 외부의 데이터를 통한 추가 분석 없이는 소셜 미디어 조작과의 연관성을 단정할 수 없다는 한계를 가진다.