클라우드플레어가 10월 발생한 얀덱스 장애 전후의 Radar 및 Bot Management 관측 데이터를 종합해 공개했다. 회사는 검색 서비스를 지원하는 AS13238과 외부 클라우드 호스팅을 담당하는 AS200350을 엄격히 구분하여 네트워크 트래픽 흐름을 분석했다. 장애가 일어난 뒤 10월 11일 기준으로 자사 네트워크에서 관측된 트래픽은 평소 기준선과 비교해 각각 99%, 90% 급감한 것으로 나타났다.
이 수치는 클라우드플레어의 에지 서버를 통과한 HTTP 요청의 변화량을 집계한 결과이며 인터넷 전역에서 일어난 자동화 요구나 악성 활동의 감소율을 가리키는 지표는 아니다. 원문에서는 데이터센터에 가해진 공격 보도를 사건의 주된 배경으로 제시하고 있으나 네트워크 요청량의 변동만으로 물리적 손상이나 피해의 세부 원인을 밝혀낼 수는 없다. 아울러 특정 네트워크의 트래픽이 줄어들었다고 해서 봇 운영자의 구체적인 신원이나 공격 주체까지 입증되는 것은 아니다.
검색 크롤러 감소와 클라우드 미검증 요청의 차이
검색 네트워크인 AS13238에서 확인된 요청을 살펴보면 전체의 99.5%가 자동화 요청으로 분류되었고 이 중 93.6%는 검증된 봇으로 집계됐다. 요청의 구체적인 동작 역시 웹페이지, 이미지, 각종 웹 자원을 수집하는 작업에 집중되어 검색 색인 생성이라는 본래 목적과 정확히 일치했다. 자동화라는 분류 명칭만 보고 이를 공격성 신호로 해석하게 되면 정상적인 검색 크롤러의 동작 중단이나 콘텐츠 발견 통로의 축소를 보안 성과로 잘못 평가하는 왜곡이 발생한다.
클라우드플레어 공식 문서에서 검증된 봇은 신원을 투명하게 밝히고 시스템 접근 권한을 남용하지 않는 것으로 인증된 봇과 에이전트를 의미한다. 신원 판별에는 공개 IP 목록과의 대조, 역방향 DNS 검증, 일관된 사용자 에이전트 문자열, 암호화 서명 등이 활용된다. 이와 함께 사전에 정의된 접근 규칙이나 robots.txt를 준수하는지, 과도한 속도로 요청을 발생시키지 않는지도 중요한 판단 기준이다. 따라서 검색 트래픽의 소멸은 웹 생태계 관점에서 콘텐츠 노출 기회의 단절로 해석해야 마땅하다.
반면 외부 제삼자의 애플리케이션을 호스팅하는 Yandex.Cloud는 검색 네트워크와는 완전히 상반된 요청 구성을 보였다. 클라우드플레어가 점수를 매긴 요청의 약 95%가 봇으로 분류되었으며 이 관측 대상 중에서 공식적으로 검증된 봇은 단 하나도 확인되지 않았다. 그러나 소프트웨어 기업들을 향한 요청의 상당수가 정상적인 성공 응답을 수신하고 유효한 서비스 이용 정황을 나타냈다. 검증 목록에 등재되어 있지 않다는 사실만을 근거로 모든 트래픽을 악의적 행위로 규정할 수는 없다.
장애 기간 중 취약점 스캐닝 시도나 플러그인 탐색 요청이 눈에 띄게 줄어든 현상 역시 해당 호스팅 네트워크를 경유하던 특정 경로의 감소를 보여줄 뿐이다. 출발지 인프라가 기능을 멈춘 것과 악성 행위의 동기가 근본적으로 해소된 것은 전혀 다른 차원의 문제다. 공격에 쓰이던 자동화 도구가 다른 서비스 제공자로 우회하거나 대체 서버를 확보한다면 기존 취약점 공격은 다른 경로를 통해 얼마든지 재개될 수 있으므로 표면적인 숫자 감소를 위험 해소로 단정해서는 안 된다.
도박 서비스 사례로 본 타 호스팅 이동과 JA4 지문
클라우드플레어는 자동화 트래픽의 실제 이동 흐름을 보여주는 구체적인 사례로 한 도박 서비스 고객 계정의 데이터를 제시했다. 10월 8일 장애가 발생한 직후 얀덱스 클라우드에서 유입되던 봇 요청이 전면 중단되었으나 거의 같은 시점에 다른 러시아 호스팅 사업자 네트워크에서 유사한 지문·경로·헤더의 요청이 관측됐다. 여러 단서와 시점이 맞물려 작업 이동을 뒷받침하지만, 이것만으로 구체적인 운영자의 신원을 밝힌 것은 아니다.
두 네트워크에서 발생한 요청의 연관성을 증명하기 위해 클라우드플레어는 복합적인 기술 지표들을 교차 분석했다. 여기에는 TLS 연결 과정에서 추출되는 JA4 지문, 일반적이지 않은 특이한 요청 경로와 HTTP 헤더 구성, 고유한 사용자 에이전트 문자열이 포함됐다. 서로 다른 출발지 IP와 네트워크 대역에도 불구하고 이러한 지표들이 정확히 일치한다는 사실은 동일한 소프트웨어 구성이나 자동화 도구가 인프라를 갈아타며 작업을 이어갔음을 강하게 시사한다.
공식 문서에 명시된 바와 같이 JA4는 클라이언트가 TLS 연결을 맺을 때 제시하는 암호화 통신 특성을 기반으로 지문을 생성한다. 이 과정에서 프로토콜 확장 목록을 정렬해 비슷한 특성을 지닌 클라이언트를 그룹화하기 쉽게 돕는다. 그러나 이러한 지문은 연결 방식의 기계적 유사성을 보여줄 뿐 요청을 실행한 구체적인 인물이나 배후의 정체를 직접 규명해 주는 수단은 아니다. 단일 지표에 의존하지 않고 요청 경로, 헤더, 전이 시점을 입체적으로 결합해야만 신뢰성 있는 추적이 가능해진다.
지문 기술 자체의 기술적 한계와 데이터 결측 가능성도 간과할 수 없다. 암호화되지 않은 일반 HTTP 통신을 사용하거나 시스템 설정상 봇 관리 처리가 생략된 연결에서는 JA4 지문 값 자체가 기록되지 않는다. 관측되지 않은 트래픽 안에서 일어나는 자동화 작업은 지문 비교를 통해 포착해 낼 수 없다. 특정 지표가 일시적으로 감소했다고 해서 위협 전체가 사라졌다고 평가할 수 없는 기술적 배경이 여기에 존재한다.
검증된 봇 비중의 분모도 구분한다
검색 ASN의 99.5%는 전체 요청에서 자동화로 분류한 비중이고 93.6%는 그 봇 요청 중 검증된 비중이다. 두 비율을 그대로 더하거나 뺄 수 없다. 클라우드 ASN의 약 95%도 점수를 매긴 요청이라는 별도 분모를 갖는다.
같은 데이터에서 HTTP 200은 요청이 처리됐다는 신호이지 이용 목적의 적법성이나 무해함 자체를 증명하지는 않는다. 보고서는 목적지 산업과 요청 동작을 함께 해석했다. 관측 항목이 무엇을 직접 보여 주고 무엇이 추가 추론인지를 구분하면 정상 검색과 공격성 자동화를 더 정확히 나눠 읽을 수 있다.
| 신호 | 직접 보여 주는 것 |
|---|---|
| 검색 ASN 99.5% | 전체 요청 중 자동화 분류 |
| 그 봇 중 93.6% | 검증 목록에 해당하는 비중 |
| 클라우드 약 95% | 점수를 매긴 요청 중 봇 분류 |
| JA4 일치 | TLS 연결 특성의 유사성 |
| HTTP 200 | 성공 응답 상태·목적의 무해성 보증 아님 |
특정 도박 서비스에서 확인된 단일 사례를 인터넷 전체의 봇 운영 행태로 성급히 일반화하거나 출발지 국가 정보만으로 배후 조직을 특정할 수는 없다. 얀덱스 네트워크의 침묵이 가져온 변화는 관측망 내부의 국소적인 현상이며 타 호스팅 인프라로 이동한 자동화 행위는 언제든 관측 범위 밖에서 이어질 수 있다. 출발지의 위치나 사업자 정보는 물리적 연결의 속성일 뿐 자동화 프로그램의 궁극적인 목적을 규정하지 못한다.
소셜 미디어를 겨냥한 여론 조작 중단 주장 역시 같은 한계에 부딪힌다. 클라우드플레어는 자사가 관측한 소셜 미디어 트래픽과 게시물 작성, 답글, 좋아요 경로 등에서 장애 전후 눈에 띄는 이상 징후를 발견하지 못했다고 밝혔다. 외부 플랫폼의 독립적인 데이터 분석 없이는 장애 사건과 소셜 조작 활동 간의 연관성을 단정하거나 전면 부인할 수 없다는 설명이다. 자사 고객사를 향한 HTTP 트래픽 분석만으로 플랫폼 전반의 여론 조작 실태를 재단하는 것은 논리적 비약이다.
ARCH.B 의견
한 출발지의 요청이 줄어드는 일과 전체 자동화 행동이 줄어드는 일은 다르다. 이번 보고서의 도박 서비스 사례에서는 요청의 지문과 특이 경로, 전이 시점이 함께 관찰돼 다른 호스팅으로의 이동을 뒷받침했다. 특정 IP만 보면 놓칠 수 있는 행동의 연속성을 보여준다.
JA4는 연결 특성이 비슷한 요청을 묶는 단서다. 같은 지문을 여러 프로그램이 공유할 수 있으므로 사람이나 조직의 신원처럼 쓰지 않는다. 목적지와 요청 방식, 시점을 함께 보아야 일치가 의미하는 범위를 좁힐 수 있다. 출발지 국가나 검증 목록 등재 여부만으로 정상·악성을 결정하지 않는 이유다.
