Захист сервера Discord від рейдів: 7 налаштувань, які справді допомагають

Рейд майже завжди проходить однаково. Між другою і п'ятою ранку приєднуються від п'ятдесяти до трьохсот щойно створених акаунтів, публікують те саме повідомлення в кожному каналі, пінгують @everyone і знову зникають. Коли ти прокидаєшся, твій сервер повний реклами криптосайту, а половина твоїх учасників вимкнула сповіщення.

Найприкріше: більшість цих атак дешево автоматизовані й провалюються на дуже простих перешкодах. Якщо твій сервер можна знайти публічно, пройди такі сім пунктів. Перші чотири вбудовані в Discord і не коштують нічого, крім кількох хвилин.

1. Підвищ рівень верифікації

Це найефективніше окреме налаштування, і його постійно пропускають.

У Налаштуваннях сервера, Модерація, Рівень верифікації ти вирішуєш, що акаунт має мати, перш ніж зможе писати на твоєму сервері. Рівні означають:

Рівень	Вимога
Низький	Підтверджена адреса електронної пошти
Середній	Акаунт зареєстрований у Discord щонайменше 5 хвилин
Високий	Учасник твого сервера щонайменше 10 хвилин
Найвищий	Підтверджений номер телефону

Середній це мінімум для будь-якого публічного сервера. Високий це той рівень, на якому більшість автоматизованих рейдів перестає працювати, бо нападникові довелося б тримати свої акаунти десять хвилин, перш ніж вони зможуть щось зробити. Для нього це не окупається.

Найвищий звучить спокусливо, але також не пускає багатьох справжніх користувачів, які не хочуть давати свій номер телефону чат-застосунку. Використовуй його лише тоді, коли тебе активно атакують.

2. Увімкни власний AutoMod від Discord

Discord уже деякий час має вбудовану модерацію, яку багато власників серверів ніколи не відкривали. У Налаштуваннях сервера, AutoMod можна за два кліки увімкнути фільтри проти спам-посилань, масових згадок і слів, якими часто зловживають.

Він не замінює повноцінного фільтра, але безкоштовний і доступний одразу.

3. Наведи лад у тому, хто справді має дозволи

Найнеприємніший випадок не рейд ззовні, а акаунт зсередини, який захопили. Хтось із твоєї команди потрапляє на фішингове посилання, у нападника раптом права адміністратора, і за чотири хвилини всі канали зникли.

Пройдися один раз своїм списком ролей і для кожної ролі з Адміністратор запитай, чи справді ця людина цього потребує. У переважній більшості випадків достатньо конкретних дозволів:

• Підтримці потрібні Керувати повідомленнями і Тайм-аут для учасників, а не «Адміністратор».
• Організаторові подій потрібне Керувати каналами в одній категорії, а не на всьому сервері.
• Боту рідко потрібне все, навіть якщо його запрошення пропонує все.

Також варто вимагати двофакторну автентифікацію від кожного члена команди. У Налаштуваннях сервера, Налаштування безпеки є перемикач, який блокує дії модерації без 2FA.

4. Обмеж запрошення

Рейду потрібне посилання-запрошення. Якщо твоє посилання два роки незмінно висить у списку серверів, воно потрапило в збірку, яку по черзі опрацьовують.

Для публічних списків створюй запрошення зі строком дії та лімітом використань замість поширення необмеженого посилання. У Налаштуваннях сервера, Запрошення ти бачиш усі активні посилання й можеш відкликати старі.

5. Вимагай мінімальний вік акаунта

Тут вбудовані інструменти Discord закінчуються. Рівень верифікації Середній вимагає п'ять хвилин віку акаунта, і для серйозного нападника це не перешкода. Хто створює свої акаунти за тиждень наперед, однаково проходить.

Бот може перевіряти дату створення акаунта Discord і автоматично прибирати акаунти, молодші за поріг. Сім днів це гарне значення за замовчуванням: воно ловить майже кожен одноразовий акаунт, але майже не зупиняє справжніх новачків.

Тут важливе одне: використовуй вигнання, а не бан. Вигнаний акаунт може повернутися, щойно стане достатньо старим. Бан рано чи пізно влучає в когось, хто щойно зареєструвався в Discord, бо його запросив друг.

В AlphaCloud це модуль Вік акаунта, який ти налаштовуєш у вебпанелі двома полями.

6. Постав верифікацію перед сервером

Принцип: нові учасники бачать рівно один канал. Лише коли вони щось там зроблять, то отримують роль, яка відкриває решту.

Зусилля для тебе одноразові:

1. Забери в @everyone видимість усіх каналів, крім каналу верифікації.
2. Створи роль, якій дозволено бачити все інше.
3. Нехай бот видає цю роль за натисканням кнопки.

Проста кнопка вже зупиняє ботів, які лише надсилають повідомлення. Якщо твій сервер цілеспрямовано атакують, краще підходить невелике математичне завдання, бо його неможливо проклацати наосліп.

Побічний ефект приємний: список учасників одразу показує тобі, хто пройшов верифікацію, а хто ні.

7. Автоматичне екстрене гальмо

Перші шість пунктів запобігають більшості. Для решти тобі потрібне щось, що реагує швидше за тебе.

Ідея за цим проста: окрема дія не підозріла, підозріла її швидкість. Один видалений канал це рутина. Десять видалених каналів за двадцять секунд від акаунта, який учора став адміністратором, це атака.

Система Anti-Nuke рахує такі дії, зважує їх і втручається, коли перетнуто поріг. Що має сенс:

• Карантин замість бану для людей. Атака зупиняється одразу, але ти можеш повернути ролі, якщо це була хибна тривога.
• Канал журналу, щоб уранці бачити, що сталося.
• Білий список для твого керівництва і для ботів, які легітимно роблять багато дій.

AlphaCloud називає цей модуль Anti-Nuke. Він також може відновлювати видалені канали й ролі, хоча з важливим обмеженням, про яке тобі має сказати будь-яка чесна система: історія повідомлень не повертається. Відновлені канали порожні. Це обмеження шкоди, а не резервна копія.

Що робити, по черзі

Якщо сьогодні в тебе лише двадцять хвилин:

1. Рівень верифікації на Високий (2 хвилини)
2. Пройтися ролями з «Адміністратор» (10 хвилин)
3. Відкликати старі посилання-запрошення (3 хвилини)
4. Увімкнути AutoMod від Discord (5 хвилин)

Це покриває більшість. Пункти з 5 по 7 стають вартими того, щойно твій сервер переростає кілька сотень учасників, або якщо тебе вже атакували.

І остання порада, яка не має нічого спільного з налаштуваннями: зроби резервну копію структури свого сервера. Ролі, категорії, канали. Якщо це таки станеться, цей один файл це різниця між пів години і цілими вихідними.