Yandex 宕机后恶意机器人去了哪里？数据与排查方法
简答：Yandex 宕机主要让搜索抓取和部分云端扫描暂时下降，并未证明恶意机器人消失。判断是否迁移，应同时核对 ASN、请求路径、HTTP 头、User-Agent、JA4 指纹和时间窗口。
定义：本文所说的“恶意机器人迁移”，是指自动化请求从发生中断的网络转移到其他托管网络，而不是请求行为本身消失。
先看结论：搜索爬虫减少，不等于恶意自动化消失
本文编译整理自 Cloudflare 原文分析，更新于 2026 年 10 月 23 日。文章讨论的是网站 HTTP 请求、搜索抓取和云端自动化，不等同于对社交平台账户活动的全面测量。
| 观察对象 | Cloudflare 记录 | 应如何理解 |
|---|---|---|
| Yandex Search，AS13238 | 99.5% 请求被分类为自动化，其中 93.6% 的机器人请求属于已验证机器人 | 主要反映搜索索引、页面渲染和图片抓取活动 |
| Yandex.Cloud，AS200350 | 约 95.0% 的评分请求属于机器人，但观察到的机器人请求没有被验证 | 包含软件程序、扫描、插件探测和其他云端自动化 |
| Yandex.Cloud 攻击型请求 | 机器人流量约下降 40%，WordPress 插件探测下降 90%，扫描器识别请求下降 93% | 说明原网络上的部分请求暂时停止或离开，但不能单独证明攻击者停止活动 |
| 赌博类目标请求 | Yandex.Cloud 请求归零后，其他俄罗斯托管网络出现相同 JA4、路径、HTTP 头和 User-Agent | 这是“迁移而非消失”的行为证据，但属于 Cloudflare 观测范围内的样本 |
| 社交平台接口 | 对特定平台的 post、reply、like 接口未发现异常迁移 | 只能说明该分析没有发现支持“社交媒体操纵被击垮”的证据，不等于证明不存在任何影响 |
Cloudflare 的全球机器人基线和本文事件数据来自其网络观测。Cloudflare Radar 将机器人流量定义为非人类 HTTP 请求，因此“机器人流量”不能直接等同于恶意流量，也不能直接推导社交平台上的账户行为。可在 Cloudflare Radar 全球机器人页面查看这一统计口径。
时间线与两个 ASN：为什么同一场中断会产生不同结果
- 2026 年 10 月 7 日至 11 日：Cloudflare 原文称，报告中的无人机袭击先后影响俄罗斯境内三处 Yandex 设施；10 月 11 日，Yandex Search 的流量较基线低约 99%，Yandex.Cloud 低约 90%。这两个数字描述的是对应 ASN 的整体网络流量，不是恶意机器人流量跌幅。
- 2026 年 10 月 8 日：Cloudflare 观察到，某赌博类客户来自 Yandex.Cloud 的机器人请求降为零，同时来自其他托管 ASN 的相同请求出现。这个日期对应的是迁移证据，不应与 10 月 11 日的整体网络流量跌幅混为一谈。
- 2026 年 10 月 14 日：Cloudflare 发布分析。其结论是，搜索索引活动受到明显影响；部分云端恶意自动化很快转移到其他网络；现有数据不足以证明社交媒体操纵活动被这次中断打垮。
这里最容易误读的是“总流量下降”和“机器人请求下降”并非同一指标。Yandex Search 本身就是搜索抓取网络，所以整体流量大幅下降时，主要影响可能是索引和内容发现；Yandex.Cloud 则承载第三方应用，自动化请求中既有正常软件调用，也有扫描和探测，必须继续查看请求行为。
JA4、HTTP 4xx 与迁移证据怎么判断
JA4 是什么：JA4 是基于 TLS 客户端连接特征生成的指纹，可用于把行为相似的客户端请求聚类。按照 Cloudflare JA3/JA4 官方文档，JA4 会处理 ClientHello 中的协议版本、密码套件、扩展集合和相关连接特征，并对扩展进行排序，以减少现代浏览器因扩展顺序变化产生的指纹分裂。
在这次事件中，Cloudflare 没有只看来源 ASN，而是把以下字段组合起来观察：相同 JA4 指纹、少见的请求路径、相同 HTTP 头和自定义 User-Agent。若原 ASN 的请求突然归零，其他 ASN 随后出现同一组特征，且目标路径和时间关系一致，可以把“迁移”作为较强的工作假设；但它仍不是对攻击者身份的最终归因。
HTTP 4xx 的变化也要结合上下文。Cloudflare 观察到，多数行业中来自 Yandex.Cloud、返回任意 4xx 的机器人请求占比下降，原因主要是攻击型请求减少。这个现象说明原网络上的一部分扫描或探测流量消失了，但它本身不能证明所有恶意请求都停止，更不能单独说明其他托管网络没有继续承载相同活动。
网站运营者如何复核：从 ASN 到请求行为
以下步骤适合有访问日志、WAF 日志或反向代理日志的网站。不要只按 ASN 做永久封禁，因为同一批自动化程序可能更换地址，也可能与正常云服务共用网络。
- 先保存事件窗口：以 2026 年 10 月 7 日至 14 日为参考，保留至少一段事件前基线和一段事件后数据。按小时或天记录请求量、状态码、路径、User-Agent、来源 IP 和 ASN。
- 分开统计请求类型：将搜索爬虫、正常 API 调用、登录接口、漏洞探测、插件路径和高频业务接口分开。不要把所有自动化请求都标为恶意。
- 核对反向 DNS：在 Linux 或 macOS 终端运行
dig -x 目标IP +short，再运行host 目标IP。反向 DNS 只能提供名称线索，不能单独证明请求来自某个官方爬虫或某个组织。 - 做正向回查：如果日志中出现声称属于搜索爬虫的主机名，先解析该主机名，再将解析结果与访问 IP 对照。正向、反向结果不一致时，应把请求放入待核验集合，而不是直接认定为伪装。
- 按行为聚类：将路径、方法、状态码、User-Agent、HTTP 头顺序或内容特征与 JA4 一起比较。若某组请求换了 ASN 但仍保留相同路径和请求特征，优先检查是否为同一自动化任务迁移。
- 最后再调整规则：对敏感路径采用速率限制、挑战或更细粒度的访问控制，并保留回滚条件。单独封禁一个 ASN 可能误伤正常云端应用，也可能无法覆盖迁移后的来源。
如果没有 JA4 字段，不能因此判定请求一定不同。JA4 依赖 TLS 握手，非加密 HTTP、会话恢复或相关检测未执行时可能没有该字段；这也是官方文档明确提示的限制。
这次事件对网站索引和防护的实际启示
- 对 SEO：Yandex Search ASN 的流量主要表现为已验证搜索爬虫，因此中断首先影响页面抓取、图片抓取和内容发现。网站看到来自该网络的抓取减少，不应直接解释为页面质量下降。
- 对安全运营：云主机网络中的机器人请求可能同时包含正常软件调用和恶意扫描。应按路径、请求速率、状态码和指纹分层判断，不能只按来源网络判断。
- 对事件响应：当一个 ASN 的请求突然下降，应继续搜索其他 ASN 是否出现相同路径、请求头和 User-Agent。基础设施中断可能改变来源地址，却不一定改变自动化任务。
- 对数据解读：Cloudflare 观察的是其网络上的 HTTP 请求，且社交平台分析只覆盖特定接口和观测窗口。没有发现异常，不等于在所有平台、所有地区和所有时间段都不存在相关活动。
如果你正在建立长期排查流程，可以结合站内的五层连接路线，把 DNS、TCP、TLS、HTTP 和浏览器现象分开记录；如果需要同时比较设备、网络和浏览器路径，可使用设备 × 网络 × 浏览器路径矩阵，避免把单一网络事件误判成本地故障。
常见问题
Yandex 宕机是否证明恶意机器人消失了？
没有。Cloudflare 只观察到部分 Yandex.Cloud 自动化请求下降，并发现相同特征的请求出现在其他托管网络。更准确的说法是部分请求迁移，不能据此断言所有恶意活动都停止。
Yandex Search 和 Yandex.Cloud 的机器人有什么区别？
Yandex Search 的请求主要符合搜索索引、页面渲染和图片抓取特征，且大部分属于已验证机器人；Yandex.Cloud 是云托管网络，既包含正常软件调用，也包含未被验证的自动化、扫描和探测请求。
83.6% 或 90% 的下降能代表恶意流量下降吗？
不能直接代表。整体网络流量跌幅、机器人请求跌幅和特定行业请求跌幅属于不同统计对象，必须同时注明时间窗口、ASN 和请求类型。
为什么不能只封禁 Yandex.Cloud 或其他 ASN？
因为一个 ASN 可能承载正常应用和恶意请求，而且自动化任务可以更换托管网络。更稳妥的判断方式是结合路径、速率、HTTP 特征、User-Agent 和可用的 JA4 指纹。
Cloudflare 是否证明社交媒体水军没有受到影响？
没有。Cloudflare 的结论是，在其观测范围和特定接口样本中，没有发现支持“被击垮”的异常变化；这不是对所有社交平台、账户或地区的全面证明。
常见问题
Yandex 宕机是否证明恶意机器人消失了？
没有。Cloudflare 只观察到部分 Yandex.Cloud 自动化请求下降，并发现相同特征的请求出现在其他托管网络。更准确的说法是部分请求迁移，不能据此断言所有恶意活动都停止。
Yandex Search 和 Yandex.Cloud 的机器人有什么区别？
Yandex Search 的请求主要符合搜索索引、页面渲染和图片抓取特征，且大部分属于已验证机器人；Yandex.Cloud 是云托管网络，既包含正常软件调用，也包含未被验证的自动化、扫描和探测请求。
83.6% 或 90% 的下降能代表恶意流量下降吗？
不能直接代表。整体网络流量跌幅、机器人请求跌幅和特定行业请求跌幅属于不同统计对象，必须同时注明时间窗口、ASN 和请求类型。
为什么不能只封禁 Yandex.Cloud 或其他 ASN？
因为一个 ASN 可能承载正常应用和恶意请求，而且自动化任务可以更换托管网络。更稳妥的判断方式是结合路径、速率、HTTP 特征、User-Agent 和可用的 JA4 指纹。
Cloudflare 是否证明社交媒体水军没有受到影响？
没有。Cloudflare 的结论是，在其观测范围和特定接口样本中，没有发现支持“被击垮”的异常变化；这不是对所有社交平台、账户或地区的全面证明。