乌克兰对Yandex几座大型数据中心的打击，让俄罗斯方向的整体机器人流量出现了下滑。但Cloudflare追踪到的数据给出了另一个结论：恶意机器人的攻击量几乎没动。

Cloudflare在分析中记录了一个数字：一周之内，针对赌博类账户的俄罗斯机器人流量从1.677亿次变成1.701亿次，反而涨了1.4%。自动化程序从未停止运行，操作者只是在Yandex.Cloud不可用之后，把工作负载搬到了别的云服务商那里。

打开网易新闻 查看精彩图片

流量去了哪里

Cloudflare指出，恶意机器人并没有消失，而是转移到了Radist、Selectel等其他托管ASN上。Yandex Search和Yandex.Cloud的整体流量仍维持在正常水平的10%到15%，网络本身还处于中断状态。

两个服务的表现并不一样。Yandex Search的流量主要由经过验证的搜索爬虫构成，用来索引网站，这部分基本是合法的。Yandex.Cloud则在数据中心被炸后，漏洞扫描和探测类恶意活动出现下降。但Cloudflare的原话是：“高强度的自动化并没有消失——它只是迁移到了其他托管服务商。”

一个赌博行业的Cloudflare客户提供了更直观的样本：来自Yandex.Cloud的恶意机器人请求降到了零，但同样的活动开始从其他网络路由过来。对这家客户来说，攻击没有减少，只是换了个来源地址。

社交媒体上的数字同样平静

Cloudflare还检查了社交媒体方向的流量。同一时间段内，来自俄罗斯来源IP的流量只下降了0.6%；在某个平台上，针对“发帖”“回复”“点赞”的俄罗斯机器人流量只减少了5.7%。

基于这些数据，Cloudflare否定了“乌克兰打击导致社交媒体操纵活动减少”的说法。同时它也说明，分析范围仅限于经过Cloudflare服务的流量。

这个结论并不只适用于Yandex。云上的工作负载本来就可以在数据中心之间迁移，打掉几座机房，不等于停掉跑在里面的服务。亚马逊在AWS巴林和AWS阿布扎比遭到伊朗打击后，给受影响客户的建议也是迁移到另一个数据中心。

为什么这类攻击难防

Cloudflare由此点出了自动化威胁难防的根本原因：即便一个IP前缀被封锁，或者背后的物理基础设施被摧毁，运营者也可以在几个小时内把业务搬到另一家服务商，流量很快回到正常水平。

打地鼠的比喻在这里很贴切。你按下一个洞，地鼠从另一个洞钻出来。对于依赖云基础设施的机器人网络来说，物理打击能造成的干扰是有限的、暂时的，而迁移的成本低到几乎可以忽略。

这也意味着，评估一次打击对恶意流量的实际效果，不能只看被打击方的流量曲线，还要看同一批攻击者是否在其他网络上重新出现。Cloudflare这次追踪到的，正是后一种情况。