Anti Nuke
Erkennt Angriffe auf deinen Server, stoppt den Täter und macht den Schaden so weit wie möglich rückgängig.
Im Panel unter: Moderation, Anti Nuke
Ein Nuke ist der Fall, in dem jemand mit Rechten in kurzer Zeit alles zerstört: Kanäle löschen, Rollen löschen, alle bannen. Anti Nuke erkennt so etwas an der Geschwindigkeit und am Muster, nicht an einer einzelnen Aktion.
Wie es funktioniert
Jede verdächtige Aktion erhöht einen Bedrohungswert des Verursachers. Wird der Quarantäne Schwellwert überschritten, greift der Bot ein. Wird der kritische Schwellwert überschritten, gilt der Vorfall als kritisch und kann den Notfall Lockdown auslösen.
Ein einzelner gelöschter Kanal ist also kein Vorfall. Zehn in zwanzig Sekunden von einem Konto, das gestern Admin geworden ist, sehr wohl.
Einrichtung
Modul aktivieren
Quarantäne Rolle erstellen
Klick auf Quarantäne Rolle erstellen. Der Bot legt die Rolle an und verweigert ihr den Zugriff auf jeden Kanal. Über Quarantäne Rolle synchronisieren ergänzt du das später für neue Kanäle.
Log Kanal wählen
Dorthin gehen die Vorfallmeldungen samt Knöpfen zum Begnadigen oder Bestätigen.
Whitelist pflegen
Trag deine Leitungsrollen und vertrauenswürdige Bots ein, bevor du scharf schaltest.
Speichern und testen
Beobachte den Log Kanal ein paar Tage, bevor du die Schwellwerte verschärfst.
Die neun Erkennungsmechanismen
| Auslöser | Was er erkennt |
|---|---|
| Massenlöschung von Kanälen | Viele Kanäle in kurzer Zeit gelöscht |
| Massenlöschung von Rollen | Viele Rollen in kurzer Zeit gelöscht |
| Gefährliche Berechtigung vergeben | Jemand verteilt Admin oder vergleichbare Rechte |
| Massenbann | Viele Mitglieder in kurzer Zeit gebannt |
| Massenkick | Viele Mitglieder in kurzer Zeit gekickt |
| Nicht genehmigter Bot hinzugefügt | Nur bei Bots mit erweiterten Rechten, die nicht auf der Whitelist stehen |
| Bot gekickt oder gebannt | Jemand außer dem Serverbesitzer entfernt einen Bot, nur mit dem Schalter aus dem Abschnitt unten |
| Webhook Spam | Massenhaftes Anlegen oder Missbrauchen von Webhooks |
| Gefährliche Servereinstellungsänderung | Etwa die Sicherheitsstufe des Servers heruntersetzen |
Whitelist
| Einstellung | Bedeutung |
|---|---|
| Whitelist Rollen | Mitglieder mit einer dieser Rollen werden nie als Täter markiert |
| Whitelist Nutzer und Bots | Einzelne Konten, die nie markiert werden |
Die Bot Whitelist ist wichtig: ohne sie zählt das Hinzufügen eines legitimen Bots als Vorfall.
Auch Moderatoren, die oft viele Mitglieder kurz hintereinander bannen oder kicken (etwa bei einem Raid), gehören auf die Whitelist. Das gilt für Banns von Hand genauso wie für /ban und /kick über AlphaCloud: beides zählt für das Mitglied, das es auslöst.
Webhooks sperren
Ein Nuke Bot legt gern Webhooks an und spammt darüber. Ein Webhook bleibt bestehen, auch wenn der Bot längst gekickt ist. Zwei getrennte Schalter, beide standardmäßig aus:
| Einstellung | Bedeutung |
|---|---|
| Webhooks von Bots sofort löschen | Legt ein Bot einen Webhook an, löscht AlphaCloud ihn sofort wieder |
| Webhooks von Mitgliedern sofort löschen | Dasselbe für Mitglieder, der Serverbesitzer ist ausgenommen |
Bots und Mitglieder auf der Whitelist dürfen weiter Webhooks anlegen. Einem Ankündigungskanal folgen bleibt immer möglich. Die Löschung steht mit Grund im Discord Audit Log, der Bot braucht dafür das Recht Webhooks verwalten.
Wichtig: Bots wie PluralKit, Tupperbox oder NQN funktionieren nur mit Webhooks. Setz sie auf die Whitelist, bevor du die Sperre für Bots einschaltest.
Bots nur durch den Serverbesitzer entfernen
Ein Angreifer wirft oft zuerst die Schutz Bots raus. Ist Nur der Serverbesitzer darf Bots kicken oder bannen an (standardmäßig aus), behandelt AlphaCloud jeden anderen, der einen Bot kickt oder bannt, sofort als Täter, egal wie hoch sein Bedrohungswert ist.
- Ein gebannter Bot wird automatisch wieder entbannt.
- Einen gekickten Bot kann nur ein Mensch zurückholen. Die Vorfallmeldung im Log Kanal und die DM an den Serverbesitzer enthalten dafür den Einladungslink des Bots.
- Ausgenommen sind der Serverbesitzer, die Whitelist und Bots, die gerade selbst als Täter auffallen. Wer einen Nuke Bot rauswirft, wird also nicht bestraft.
- Auch
/kickund/banüber AlphaCloud zählen für das Mitglied, das den Befehl benutzt.
Discord lässt Bots einen Kick oder Bann nicht verhindern, AlphaCloud reagiert deshalb sofort danach. Wird AlphaCloud selbst entfernt, kann es nicht mehr reagieren.
Reaktion
| Einstellung | Bedeutung |
|---|---|
| Aktion für Nutzer | Was mit einem menschlichen Täter passiert: Quarantäne, Kick oder Bann |
| Aktion für Bots | Dasselbe für einen Bot, etwa eine kompromittierte Integration |
| Quarantäne Rolle | Nimmt dem Täter alle anderen Rollen und blockiert die Sicht auf den Server |
| Serverbesitzer benachrichtigen | DM an den Inhaber, sobald ein Vorfall erkannt wird |
Quarantäne ist die empfohlene Einstellung für Menschen: der Angriff stoppt sofort, aber du kannst die Rollen zurückgeben, falls es ein Fehlalarm war. Ein Bann ist endgültig.
Automatische Wiederherstellung
Stellt Kanäle und Rollen, die der Täter gerade gelöscht hat, automatisch wieder her.
Adaptives Risiko
Zwei Werte, die einen Täter schneller in den Schwellwert bringen:
| Einstellung | Bedeutung |
|---|---|
| Zeitfenster für neue Admin Rechte (Minuten) | Wer innerhalb dieses Fensters eine gefährliche Berechtigung bekommen hat, wird bei jeder zerstörerischen Aktion höher bewertet |
| Schwelle für neue Accounts (Tage) | Discord Konten, die jünger sind, werden höher bewertet |
Beides sind die klassischen Anzeichen für einen übernommenen oder eigens angelegten Angreiferaccount.
Netzwerkweite Bedrohungserkennung
AlphaCloud läuft auf tausenden Servern. Zwei getrennte Schalter:
| Einstellung | Bedeutung |
|---|---|
| Täter melden | Teilt Discord ID, Auslöser Typ und Zeitpunkt eines bestätigten Täters mit dem Netzwerk |
| Netzwerkmeldungen nutzen | Erhöht den Risikowert von Mitgliedern, die anderswo bereits gemeldet wurden |
Notfall Lockdown
Sperrt den kompletten Server. Entweder automatisch bei kritisch oder manuell über Jetzt sperren. Über Sperre aufheben geht es zurück.
Vorfälle
Unten auf der Seite findest du die Liste aller Vorfälle mit Täter, Bedrohungswert und getroffener Aktion. Zwei Knöpfe pro Eintrag:
- Begnadigen hebt die Maßnahme auf und stellt die vorherigen Rollen wieder her.
- Bann bestätigen macht die Sanktion endgültig.
Dieselben Knöpfe stehen auch unter der Vorfallmeldung im Log Kanal, sodass dein Team direkt in Discord reagieren kann.
Befehl
/lockdown sperrt den Server oder hebt die Sperre auf, ohne dass du das Panel öffnen musst. Der Befehl steht nur zur Verfügung, wenn Anti Nuke aktiv ist.
Benötigte Rechte
Administrator wird hier dringend empfohlen. Anti Nuke muss Rollen verwalten, Kanäle verwalten, bannen, kicken und das Discord Ereignisprotokoll lesen können, und zwar schneller als der Angreifer.