Jak chronić serwer Discord przed rajdami: 7 ustawień, które naprawdę pomagają

Rajd prawie zawsze przebiega tak samo. Między drugą a piątą w nocy dołącza od pięćdziesięciu do trzystu świeżo założonych kont, publikuje tę samą wiadomość na każdym kanale, pinguje @everyone i znowu znika. Kiedy się budzisz, serwer jest pełen reklam jakiejś strony z kryptowalutami, a połowa członków wyciszyła powiadomienia.

Irytujące jest to, że większość takich ataków jest tanio zautomatyzowana i przegrywa z bardzo prostymi przeszkodami. Jeśli prowadzisz serwer, który można znaleźć publicznie, przejdź po kolei przez siedem poniższych punktów. Pierwsze cztery są wbudowane w Discorda i zajmą ci tylko kilka minut.

1. Podnieś poziom weryfikacji

To najskuteczniejsze pojedyncze ustawienie, a mimo to ciągle się je pomija.

W Ustawieniach serwera, Moderacja, Poziom weryfikacji decydujesz, co konto musi spełniać, zanim będzie mogło pisać na twoim serwerze. Poziomy oznaczają:

Poziom	Wymaganie
Niski	Zweryfikowany adres e-mail
Średni	Konto zarejestrowane na Discordzie od co najmniej 5 minut
Wysoki	Członek twojego serwera od co najmniej 10 minut
Najwyższy	Zweryfikowany numer telefonu

Średni to minimum dla każdego publicznego serwera. Wysoki to punkt, w którym większość zautomatyzowanych rajdów przestaje działać, bo atakujący musiałby trzymać swoje konta w oczekiwaniu przez dziesięć minut, zanim cokolwiek zrobi. To mu się nie opłaca.

Najwyższy brzmi kusząco, ale odcina też wielu prawdziwych użytkowników, którzy nie chcą dawać numeru telefonu aplikacji do czatu. Używaj go tylko wtedy, gdy rzeczywiście trwa atak.

2. Włącz AutoMod samego Discorda

Discord od jakiegoś czasu ma wbudowaną moderację, której wielu właścicieli serwerów nigdy nie otworzyło. W Ustawieniach serwera, AutoMod w dwa kliknięcia włączysz filtry przeciw linkom ze spamem, masowym wzmiankom i często nadużywanym słowom.

Nie zastąpi porządnego filtra, ale jest darmowy i dostępny od ręki.

3. Uporządkuj, kto naprawdę ma uprawnienia

Najbardziej nieprzyjemny przypadek to nie rajd z zewnątrz, tylko przejęte konto od środka. Ktoś z twojego zespołu daje się nabrać na link phishingowy, atakujący nagle ma uprawnienia administratora i cztery minuty później wszystkie kanały znikają.

Przejrzyj raz listę ról i przy każdej roli z uprawnieniem Administrator zapytaj, czy ta osoba naprawdę tego potrzebuje. W zdecydowanej większości przypadków wystarczą konkretne uprawnienia:

• Osoba z supportu potrzebuje Zarządzania wiadomościami i Wyciszania członków, a nie Administratora.
• Organizator wydarzeń potrzebuje Zarządzania kanałami w jednej kategorii, a nie na całym serwerze.
• Bot rzadko potrzebuje wszystkiego, nawet jeśli jego zaproszenie prosi o wszystko.

Wymagaj też uwierzytelniania dwuskładnikowego od całego zespołu. W Ustawieniach serwera, Konfiguracja bezpieczeństwa jest przełącznik, który blokuje działania moderacyjne bez 2FA.

4. Ogranicz zaproszenia

Rajd potrzebuje linku z zaproszeniem. Jeśli twój link od dwóch lat wisi bez zmian na jakiejś liście serwerów, trafił już do kolekcji, z której korzysta się po kolei.

Na publiczne listy twórz zaproszenia z datą ważności i limitem użyć, zamiast rozsyłać link bez ograniczeń. W Ustawieniach serwera, Zaproszenia widzisz wszystkie aktywne linki i możesz unieważnić stare.

5. Wymagaj wieku konta

Tu kończą się wbudowane narzędzia Discorda. Poziom weryfikacji Średni wymaga pięciu minut wieku konta, co dla poważnego atakującego nie jest żadną przeszkodą. Kto zakłada konta tydzień wcześniej, i tak przejdzie.

Bot może sprawdzić datę utworzenia konta Discord i automatycznie usuwać konta poniżej progu. Siedem dni to dobra wartość domyślna: łapie prawie każde konto jednorazowe, a prawie nie zatrzymuje prawdziwych nowych osób.

Jedno jest tu ważne: używaj wyrzucenia, nie bana. Wyrzucone konto może wrócić, gdy będzie wystarczająco stare. Ban prędzej czy później trafi kogoś, kto dopiero założył konto na Discordzie, bo zaprosił go znajomy.

W AlphaCloud to moduł Wiek konta, który ustawiasz w panelu webowym dwoma polami.

6. Postaw weryfikację przed serwerem

Zasada: nowi członkowie widzą dokładnie jeden kanał. Dopiero gdy coś tam zrobią, dostają rolę, która otwiera resztę.

Wysiłek po twojej stronie jest jednorazowy:

1. Odbierz @everyone widoczność wszystkich kanałów oprócz kanału weryfikacji.
2. Utwórz rolę, która widzi całą resztę.
3. Niech bot nadaje tę rolę po naciśnięciu przycisku.

Prosty przycisk zatrzymuje już boty, które tylko wysyłają wiadomości. Jeśli twój serwer jest celowo atakowany, lepszym wyborem jest małe zadanie matematyczne, bo nie da się go przeklikać na ślepo.

Efekt uboczny jest przyjemny: lista członków od razu pokazuje, kto przeszedł weryfikację, a kto nie.

7. Automatyczny hamulec awaryjny

Pierwsze sześć punktów zapobiega większości problemów. Na resztę potrzebujesz czegoś, co reaguje szybciej od ciebie.

Idea jest prosta: pojedyncza czynność nie jest podejrzana, podejrzane jest jej tempo. Usunięcie jednego kanału to rutyna. Dziesięć kanałów usuniętych w dwadzieścia sekund przez konto, które wczoraj zostało administratorem, to atak.

System anti nuke liczy takie czynności, waży je i wkracza po przekroczeniu progu. Co ma sens:

• Kwarantanna zamiast bana dla ludzi. Atak zatrzymuje się od razu, ale możesz oddać role, jeśli to był fałszywy alarm.
• Kanał logów, żeby rano zobaczyć, co się stało.
• Biała lista dla twojego kierownictwa i dla botów, które zgodnie z przeznaczeniem robią dużo.

AlphaCloud nazywa ten moduł Anti Nuke. Potrafi też przywracać usunięte kanały i role, ale z ważnym ograniczeniem, o którym powinien ci powiedzieć każdy uczciwy system: historia wiadomości nie wraca. Przywrócone kanały są puste. To ograniczanie szkód, a nie kopia zapasowa.

Co robić, po kolei

Jeśli dziś masz tylko dwadzieścia minut:

1. Poziom weryfikacji na Wysoki (2 minuty)
2. Przejrzyj role z uprawnieniem Administrator (10 minut)
3. Unieważnij stare linki z zaproszeniami (3 minuty)
4. Włącz AutoMod Discorda (5 minut)

To załatwia większość. Punkty od 5 do 7 zaczynają się opłacać, gdy serwer przekroczy kilkaset członków albo gdy już raz oberwałeś.

I ostatnia rada, która nie ma nic wspólnego z ustawieniami: zrób kopię zapasową struktury serwera. Role, kategorie, kanały. Jeśli coś się stanie, ten jeden plik to różnica między pół godziną a całym weekendem.