Melindungi Server Discord dari Raid: 7 Pengaturan yang Benar-Benar Membantu

Sebuah raid hampir selalu berjalan dengan cara yang sama. Antara jam dua dan lima pagi, lima puluh sampai tiga ratus akun yang baru dibuat bergabung, memposting pesan yang sama di setiap saluran, mem-ping @everyone, lalu menghilang lagi. Saat kamu bangun, server-mu penuh iklan situs kripto dan separuh anggotamu sudah membisukan notifikasi.

Bagian yang menjengkelkan: sebagian besar serangan ini diotomatiskan dengan murah dan gagal menghadapi rintangan yang sangat sederhana. Kalau kamu menjalankan server yang bisa ditemukan publik, kerjakan tujuh poin berikut. Empat yang pertama sudah ada di Discord dan tidak memakan apa pun selain beberapa menit.

1. Naikkan tingkat verifikasi

Ini satu-satunya pengaturan yang paling efektif, dan terus-menerus terlewat.

Di Pengaturan Server, Moderasi, Tingkat Verifikasi, kamu menentukan apa yang harus dimiliki sebuah akun sebelum boleh memposting di server-mu. Arti tingkatannya:

Tingkat	Syarat
Rendah	Alamat email terverifikasi
Sedang	Akun terdaftar di Discord minimal 5 menit
Tinggi	Menjadi anggota server-mu minimal 10 menit
Tertinggi	Nomor telepon terverifikasi

Sedang adalah batas minimum untuk server publik mana pun. Tinggi adalah titik di mana sebagian besar raid otomatis berhenti berfungsi, karena penyerang harus memarkir akunnya selama sepuluh menit sebelum bisa melakukan apa pun. Itu tidak sepadan bagi mereka.

Tertinggi terdengar menggoda tapi juga mengunci banyak pengguna sungguhan yang tidak mau menyerahkan nomor teleponnya ke aplikasi chat. Pakai hanya saat kamu sedang diserang.

2. Aktifkan AutoMod bawaan Discord

Discord sudah cukup lama punya moderasi bawaan yang tidak pernah dibuka banyak pemilik server. Di Pengaturan Server, AutoMod, kamu bisa mengaktifkan filter terhadap tautan spam, mention massal, dan kata-kata yang sering disalahgunakan dalam dua klik.

Ini tidak menggantikan filter yang layak, tapi gratis dan langsung tersedia.

3. Rapikan siapa yang sebenarnya punya izin

Kasus yang paling tidak enak bukanlah raid dari luar, melainkan akun dari dalam yang diambil alih. Seseorang di timmu tertipu tautan phishing, penyerang tiba-tiba memegang izin administrator, dan empat menit kemudian semua saluran hilang.

Telusuri daftar peranmu sekali dan tanyakan, untuk setiap peran dengan Administrator, apakah orang itu benar-benar membutuhkannya. Dalam sebagian besar kasus, izin yang spesifik sudah cukup:

• Seorang supporter butuh Kelola Pesan dan Timeout Anggota, bukan Administrator.
• Seorang pengelola acara butuh Kelola Saluran di satu kategori, bukan di seluruh server.
• Sebuah bot jarang butuh semuanya, meskipun undangannya menyarankan semuanya.

Kamu juga sebaiknya mewajibkan autentikasi dua faktor untuk setiap anggota staf. Di Pengaturan Server, Penyiapan Keamanan ada tombol yang memblokir tindakan moderasi tanpa 2FA.

4. Batasi undangan

Raid butuh tautan undangan. Kalau tautanmu sudah dua tahun tidak berubah di sebuah daftar server, tautan itu sudah masuk ke koleksi yang digarap secara bergiliran.

Untuk daftar publik, buat undangan dengan tanggal kedaluwarsa dan batas pemakaian alih-alih menyebarkan tautan tanpa batas. Di Pengaturan Server, Undangan, kamu bisa melihat setiap tautan aktif dan mencabut yang lama.

5. Terapkan batas usia akun

Di sinilah alat bawaan Discord berakhir. Tingkat verifikasi Sedang mensyaratkan usia akun lima menit, yang bukan rintangan bagi penyerang serius. Siapa pun yang membuat akunnya seminggu sebelumnya tetap bisa lolos.

Sebuah bot bisa memeriksa tanggal pembuatan akun Discord dan secara otomatis mengeluarkan akun yang berada di bawah ambang batas. Tujuh hari adalah nilai default yang bagus: menangkap hampir setiap akun sekali pakai tapi nyaris tidak menghalangi pendatang baru sungguhan.

Satu hal penting di sini: pakai kick, bukan ban. Akun yang di-kick boleh kembali begitu usianya sudah cukup. Ban suatu saat akan mengenai seseorang yang baru saja mendaftar ke Discord karena diundang teman.

Di AlphaCloud, ini adalah modul Usia akun, yang kamu siapkan di panel web dengan dua kolom.

6. Pasang verifikasi di depan server

Prinsipnya: anggota baru melihat tepat satu saluran. Baru setelah mereka melakukan sesuatu di sana, mereka mendapat peran yang membuka sisanya.

Usahanya bagimu hanya sekali:

1. Cabut visibilitas semua saluran kecuali saluran verifikasi dari @everyone.
2. Buat peran yang boleh melihat semua yang lain.
3. Biarkan bot memberikan peran itu saat tombol ditekan.

Tombol sederhana saja sudah menghentikan bot yang murni mengirim pesan. Kalau server-mu sengaja dijadikan sasaran, soal hitungan kecil adalah pilihan yang lebih baik, karena tidak bisa diklik begitu saja tanpa berpikir.

Efek sampingnya menyenangkan: daftar anggota langsung menunjukkan siapa yang sudah melewati verifikasi dan siapa yang belum.

7. Rem darurat otomatis

Enam poin pertama mencegah sebagian besar serangan. Untuk sisanya, kamu butuh sesuatu yang bereaksi lebih cepat daripada kamu.

Ide di baliknya sederhana: satu tindakan tidak mencurigakan, kecepatannyalah yang mencurigakan. Satu saluran yang dihapus itu rutin. Sepuluh saluran yang dihapus dalam dua puluh detik, dari akun yang kemarin menjadi administrator, adalah serangan.

Sistem anti nuke menghitung tindakan seperti itu, memberinya bobot, dan turun tangan saat ambang batas terlampaui. Yang masuk akal:

• Karantina, bukan ban untuk manusia. Serangan langsung berhenti, tapi kamu bisa mengembalikan perannya kalau ternyata alarm palsu.
• Saluran log, supaya pagi harinya kamu bisa melihat apa yang terjadi.
• Whitelist untuk pimpinanmu dan untuk bot yang memang wajar melakukan banyak hal.

AlphaCloud menyebut modul ini Anti Nuke. Modul ini juga bisa memulihkan saluran dan peran yang dihapus, meskipun dengan satu batasan penting yang seharusnya disampaikan oleh sistem jujur mana pun: riwayat pesannya tidak kembali. Saluran yang dipulihkan kosong. Ini pembatasan kerusakan, bukan backup.

Apa yang perlu dilakukan, secara berurutan

Kalau hari ini kamu hanya punya dua puluh menit:

1. Tingkat verifikasi ke Tinggi (2 menit)
2. Telusuri peran dengan Administrator (10 menit)
3. Cabut tautan undangan lama (3 menit)
4. Aktifkan AutoMod Discord (5 menit)

Itu sudah menangani sebagian besar. Poin 5 sampai 7 jadi layak begitu server-mu tumbuh melewati beberapa ratus anggota, atau kalau kamu sudah pernah terkena serangan.

Dan satu saran terakhir yang tidak ada hubungannya dengan pengaturan: buat backup struktur server-mu. Peran, kategori, saluran. Kalau sampai terjadi, satu file itu adalah perbedaan antara setengah jam dan satu akhir pekan penuh.