📘 תיעוד 35

אודות

עודכן לאחרונה: 15 באפריל 2026

התקפות קידומת אקראית הן מצב שבו מישהו שולח תעבורה רבה לתת-דומיינים שסביר מאוד שאינם קיימים (12345.example.com, abcdefg.example.com), אבל הם עדיין משויכים לדומיין הראשי שלך (example.com).

בדרך כלל, שאילתת DNS לכל תת-דומיין אקראי (או קידומת) אינה חוזרת על עצמה, ולכן אי אפשר לשמור אותה במטמון אצל רזולברים או אצל פרוקסי אחרים, והיא תמיד מגיעה לשרתי השמות הסמכותיים. הגבלת קצב או חסימת שאילתות לפי כתובת IP של המקור עלולות ליצור כמות גבוהה של זיהויים שגויים, מכיוון שהתקפות קידומת אקראית מתבצעות בדרך כלל דרך רזולברים ציבוריים. זה הופך את ההתקפות האלה ליעילות במיוחד וקשות להפחתה.

#מאפייני ההתקפה

#שאילתות לדומיינים שאינם קיימים

אם הבקשה כללה רק דומיינים שאינם קיימים, שגיאות NXDOMAIN היו מוגשות רק על ידי שרתי השמות של הדומיין ברמה העליונה (TLD) עבור com.. המשמעות היא שהשאילתות לעולם אינן מגיעות לשרתי השמות הסמכותיים.

    flowchart TD
      accTitle: Random prefix attacks diagram
      A[End user query to <code>example.com</code>] --"1)"--> B[<code>1.1.1.1 resolver</code>]
      B --"2)"--> C[<code>com.</code> TLD NS]
      C --"3)" <code>NXDOMAIN error</code>--> B
      B --"4)" <code>NXDOMAIN error</code>--> A
      D[Authoritative NS]

#שאילתות לתת-דומיינים שאינם קיימים

ההתקפות האלה מצליחות כי הן מכוונות לתת-דומיינים, שדורשים תשובה משרתי השמות הסמכותיים של דומיין.

    flowchart TD
      accTitle: Random prefix attacks diagram
      A[End user query to <code>random.example.com</code>] --"1)"--> B[<code>1.1.1.1 resolver</code>]
      B -- "2)" --> C[<code>com.</code> TLD NS]
      C -- "3)" Query Authoritative NS --> B
      B -- "4)" --> D[Authoritative NS]
      D --"5)" <code>NXDOMAIN error</code>--> B
      B --"6)" <code>NXDOMAIN error</code>--> A

בהתקפה על תת-דומיין של דומיין קיים, הרזולבר נאלץ לפענח אותו במלואו מול שרתי השמות הסמכותיים, מכיוון שסביר שתת-הדומיינים האקראיים האלה אינם שמורים במטמון אצל הרזולבר או אצל פרוקסי אחר. אם תוקף שולח מספיק שאילתות כאלה, ושרתי השמות הסמכותיים אינם יכולים להתמודד עם עומס השאילתות, הם יהפכו ללא מגיבים או אפילו יקרסו, ויורידו את כל האזורים שהם מארחים, ולא רק את האזור המותקף.

ההתקפה הזו קשה להפחתה מכמה סיבות. מנקודת המבט של שרתי השמות הסמכותיים, התוקף נראה כמו Cloudflare (1.1.1.1), מכיוון שזה מקור השאילתות. חסימת Cloudflare אינה אפשרות, כי זה יחסום תעבורה לגיטימית.

#פתרון

כאשר מפעילים אמצעי הפחתה להתקפות קידומת אקראית, Cloudflare עוקבת אחרי שאילתות נכנסות לאיתור התקפות קידומת אקראית אפשריות.

כאשר מזוהה התקפה, נפסיק זמנית לשלוח שאילתות לשרתי השמות במעלה הזרם שלך עבור תת-דומיינים, תת-תת-דומיינים, ועוד. לאחר מכן Cloudflare תענה בתשובות שנשמרו במטמון (אם ה-TTL שלהן עדיין לא פג).