Een Discord server beschermen tegen raids: 7 instellingen die echt helpen

Een raid verloopt bijna altijd op dezelfde manier. Tussen twee en vijf uur 's nachts komen vijftig tot driehonderd vers aangemaakte accounts binnen, plaatsen hetzelfde bericht in elk kanaal, pingen @everyone en verdwijnen weer. Als je wakker wordt, staat je server vol reclame voor een cryptosite en heeft de helft van je leden de meldingen gedempt.

Het vervelende: de meeste van deze aanvallen zijn goedkoop geautomatiseerd en lopen stuk op heel eenvoudige drempels. Run je een server die openbaar vindbaar is, werk dan de volgende zeven punten af. De eerste vier zitten in Discord zelf en kosten niets behalve een paar minuten.

1. Verhoog het verificatieniveau

Dit is de allereffectiefste instelling, en ze wordt voortdurend over het hoofd gezien.

Onder Serverinstellingen, Moderatie, Verificatieniveau bepaal je wat een account moet meebrengen voordat het in je server mag schrijven. De niveaus betekenen:

Niveau	Vereiste
Laag	Geverifieerd e-mailadres
Gemiddeld	Account minstens 5 minuten geregistreerd bij Discord
Hoog	Minstens 10 minuten lid van je server
Hoogst	Geverifieerd telefoonnummer

Gemiddeld is het minimum voor elke openbare server. Hoog is het punt waarop de meeste geautomatiseerde raids niet meer werken, omdat de aanvaller zijn accounts tien minuten moet parkeren voordat ze iets kunnen doen. Dat loont voor hem niet.

Hoogst klinkt verleidelijk, maar sluit ook veel echte gebruikers buiten die hun telefoonnummer niet aan een chatapp willen geven. Gebruik het alleen terwijl je actief wordt aangevallen.

2. Zet de eigen AutoMod van Discord aan

Discord heeft al een tijd ingebouwde moderatie die veel servereigenaren nooit hebben geopend. Onder Serverinstellingen, AutoMod zet je in twee klikken filters aan tegen spamlinks, massale mentions en veel misbruikte woorden.

Het vervangt geen goed filter, maar het is gratis en direct beschikbaar.

3. Ruim op wie er echt machtigingen heeft

Het onaangenaamste geval is niet een raid van buiten, maar een account van binnen dat is overgenomen. Iemand in je team trapt in een phishinglink, de aanvaller heeft ineens beheerdersrechten, en vier minuten later is elk kanaal weg.

Loop je rollenlijst één keer door en vraag je bij elke rol met Beheerder af of die persoon dat echt nodig heeft. In de overgrote meerderheid van de gevallen volstaan de specifieke machtigingen:

• Een supporter heeft Berichten beheren en Leden een time-out geven nodig, niet Beheerder.
• Een eventmanager heeft Kanalen beheren in één categorie nodig, niet serverbreed.
• Een bot heeft zelden alles nodig, ook als zijn uitnodiging alles voorstelt.

Je zou ook tweestapsverificatie moeten verplichten voor elk teamlid. Onder Serverinstellingen, Veiligheidsinstellingen zit een schakelaar die moderatieacties zonder 2FA blokkeert.

4. Beperk uitnodigingen

Een raid heeft een invitelink nodig. Staat jouw link al twee jaar onveranderd in een serverlijst, dan is hij in een verzameling beland die beurtelings wordt afgewerkt.

Maak voor openbare vermeldingen uitnodigingen aan met een vervaldatum en een gebruikslimiet, in plaats van een onbeperkte link te verspreiden. Onder Serverinstellingen, Uitnodigingen zie je elke actieve link en kun je oude intrekken.

5. Dwing een accountleeftijd af

Hier houden de ingebouwde tools van Discord op. Verificatieniveau Gemiddeld vereist vijf minuten accountleeftijd, en dat is geen obstakel voor een serieuze aanvaller. Wie zijn accounts een week van tevoren aanmaakt, komt er nog steeds door.

Een bot kan de aanmaakdatum van het Discord account controleren en accounts onder een drempel automatisch verwijderen. Zeven dagen is een goede standaard: het vangt bijna elk wegwerpaccount, maar houdt echte nieuwkomers nauwelijks tegen.

Eén ding is hier belangrijk: gebruik kick, geen ban. Een gekickt account mag terugkomen zodra het oud genoeg is. Een ban treft uiteindelijk iemand die zich net bij Discord heeft aangemeld omdat een vriend hem uitnodigde.

In AlphaCloud is dat de module Accountleeftijd, die je in het webpanel met twee velden instelt.

6. Zet verificatie voor de server

Het principe: nieuwe leden zien precies één kanaal. Pas als ze daar iets doen, krijgen ze een rol die de rest opent.

De moeite voor jou is eenmalig:

1. Neem @everyone het zicht op alle kanalen af, behalve het verificatiekanaal.
2. Maak een rol aan die al het andere mag zien.
3. Laat een bot die rol geven bij een druk op een knop.

Een eenvoudige knop houdt pure berichtenbots al tegen. Wordt je server gericht aangevallen, dan is een kleine rekensom de betere keuze, omdat je die niet blind kunt wegklikken.

Het bijeffect is prettig: de ledenlijst laat je meteen zien wie de verificatie heeft doorlopen en wie niet.

7. Een automatische noodrem

De eerste zes punten voorkomen het meeste. Voor de rest heb je iets nodig dat sneller reageert dan jij.

Het idee erachter is simpel: een enkele actie is niet verdacht, de snelheid ervan wel. Eén verwijderd kanaal is routine. Tien verwijderde kanalen in twintig seconden, van een account dat gisteren beheerder werd, is een aanval.

Een anti nuke systeem telt zulke acties, weegt ze en grijpt in als een drempel wordt overschreden. Wat zinvol is:

• Quarantaine in plaats van een ban voor mensen. De aanval stopt meteen, maar je kunt de rollen teruggeven als het een vals alarm was.
• Een logkanaal, zodat je 's ochtends kunt zien wat er is gebeurd.
• Een whitelist voor je leiding en voor bots die legitiem veel doen.

AlphaCloud noemt deze module Anti-Nuke. Ze kan ook verwijderde kanalen en rollen herstellen, al met een belangrijke beperking die elk eerlijk systeem je zou moeten vertellen: de berichtgeschiedenis komt niet terug. Herstelde kanalen zijn leeg. Dit is schadebeperking, geen back-up.

Wat je doet, op volgorde

Heb je vandaag maar twintig minuten:

1. Verificatieniveau op Hoog (2 minuten)
2. Rollen met Beheerder doorlopen (10 minuten)
3. Oude invitelinks intrekken (3 minuten)
4. AutoMod van Discord aanzetten (5 minuten)

Daarmee is het meeste geregeld. Punten 5 tot en met 7 worden de moeite waard zodra je server boven een paar honderd leden uitgroeit, of als je al getroffen bent.

En een laatste advies dat niets met instellingen te maken heeft: maak een back-up van je serverstructuur. Rollen, categorieën, kanalen. Gebeurt het toch, dan is dat ene bestand het verschil tussen een halfuur en een heel weekend.