Anty nuke
Rozpoznaje ataki na twój serwer, zatrzymuje sprawcę i w miarę możliwości cofa szkody.
W panelu w sekcji: Moderacja, Anty nuke
Nuke to sytuacja, w której ktoś z uprawnieniami w krótkim czasie niszczy wszystko: usuwa kanały, usuwa role, banuje wszystkich. Anty nuke rozpoznaje coś takiego po szybkości i wzorcu, a nie po pojedynczej akcji.
Jak to działa
Każda podejrzana akcja podnosi wskaźnik zagrożenia sprawcy. Gdy zostanie przekroczony Próg kwarantanny, bot reaguje. Gdy zostanie przekroczony Próg krytyczny, incydent uznaje się za krytyczny i może on uruchomić awaryjną blokadę.
Pojedynczy usunięty kanał nie jest więc incydentem. Dziesięć w ciągu dwudziestu sekund z konta, które wczoraj zostało adminem, jak najbardziej.
Konfiguracja
Włącz moduł
Utwórz rolę kwarantanny
Kliknij Utwórz rolę kwarantanny. Bot tworzy rolę i odbiera jej dostęp do każdego kanału. Przyciskiem Synchronizuj rolę kwarantanny uzupełniasz to później dla nowych kanałów.
Wybierz kanał logów
Tam trafiają zgłoszenia incydentów wraz z przyciskami do ułaskawienia albo potwierdzenia.
Uzupełnij białą listę
Wpisz role kierownictwa i zaufane boty, zanim uzbroisz moduł.
Zapisz i przetestuj
Obserwuj kanał logów przez kilka dni, zanim zaostrzysz progi.
Dziewięć mechanizmów wykrywania
| Wyzwalacz | Co wykrywa |
|---|---|
| Masowe usuwanie kanałów | Wiele kanałów usuniętych w krótkim czasie |
| Masowe usuwanie ról | Wiele ról usuniętych w krótkim czasie |
| Nadanie niebezpiecznego uprawnienia | Ktoś rozdaje uprawnienia administratora albo podobne |
| Masowe banowanie | Wielu członków zbanowanych w krótkim czasie |
| Masowe wyrzucanie | Wielu członków wyrzuconych w krótkim czasie |
| Dodano niezatwierdzonego bota | Tylko w przypadku botów z rozszerzonymi uprawnieniami, których nie ma na białej liście |
| Wyrzucono lub zbanowano bota | Ktoś inny niż właściciel serwera usuwa bota, tylko z przełącznikiem z sekcji poniżej |
| Spam webhookami | Masowe tworzenie albo nadużywanie webhooków |
| Niebezpieczna zmiana ustawień serwera | Na przykład obniżenie poziomu bezpieczeństwa serwera |
Biała lista
| Ustawienie | Znaczenie |
|---|---|
| Role na białej liście | Członkowie z jedną z tych ról nigdy nie są oznaczani jako sprawcy |
| Użytkownicy i boty na białej liście | Pojedyncze konta, które nigdy nie są oznaczane |
Biała lista botów jest ważna: bez niej dodanie legalnego bota liczy się jako incydent.
Na białą listę warto dodać też moderatorów, którzy często banują lub wyrzucają wielu członków w krótkim odstępie (np. podczas raidu). Dotyczy to banów ręcznych tak samo jak /ban i /kick przez AlphaCloud: jedno i drugie liczy się dla członka, który je wykonuje.
Blokowanie webhooków
Bot do nuke chętnie tworzy webhooki i spamuje przez nie. Webhook zostaje, nawet jeśli bot dawno został wyrzucony. Dwa osobne przełączniki, oba domyślnie wyłączone:
| Ustawienie | Znaczenie |
|---|---|
| Od razu usuwaj webhooki botów | Gdy bot utworzy webhook, AlphaCloud od razu go usuwa |
| Od razu usuwaj webhooki członków | To samo dla członków, właściciel serwera jest wyjątkiem |
Boty i członkowie z białej listy mogą dalej tworzyć webhooki. Obserwowanie kanału z ogłoszeniami jest zawsze możliwe. Usunięcie widać wraz z powodem w dzienniku zdarzeń Discorda, bot potrzebuje do tego uprawnienia Zarządzanie webhookami.
Ważne: boty takie jak PluralKit, Tupperbox czy NQN działają tylko z webhookami. Dodaj je do białej listy, zanim włączysz blokadę dla botów.
Boty może usuwać tylko właściciel serwera
Atakujący często najpierw wyrzuca boty ochronne. Gdy Tylko właściciel może wyrzucać lub banować boty jest włączone (domyślnie wyłączone), AlphaCloud od razu traktuje jako sprawcę każdego innego, kto wyrzuci lub zbanuje bota, niezależnie od jego poziomu zagrożenia.
- Zbanowany bot zostaje automatycznie odbanowany.
- Wyrzuconego bota może przywrócić tylko człowiek. Dlatego zgłoszenie incydentu na kanale logów i DM do właściciela serwera zawierają link z zaproszeniem bota.
- Wyjątkiem są właściciel serwera, biała lista i boty, które same działają jako sprawcy. Kto wyrzuci bota do nuke, nie zostanie więc ukarany.
/kicki/banprzez AlphaCloud też liczą się dla członka, który użył komendy.
Discord nie pozwala botom zapobiec wyrzuceniu ani banowi, dlatego AlphaCloud reaguje zaraz potem. Jeśli usunięty zostanie sam AlphaCloud, nie może już zareagować.
Reakcja
| Ustawienie | Znaczenie |
|---|---|
| Akcja dla użytkowników | Co dzieje się ze sprawcą będącym człowiekiem: kwarantanna, wyrzucenie albo ban |
| Akcja dla botów | To samo dla bota, na przykład przejętej integracji |
| Rola kwarantanny | Zabiera sprawcy wszystkie inne role i blokuje mu widok serwera |
| Powiadamiaj właściciela serwera | Wiadomość prywatna do właściciela, gdy tylko zostanie wykryty incydent |
Kwarantanna to zalecane ustawienie dla ludzi: atak zatrzymuje się od razu, ale możesz oddać role, jeśli był to fałszywy alarm. Ban jest ostateczny.
Automatyczne cofanie
Automatycznie przywraca kanały i role, które sprawca właśnie usunął.
Ryzyko adaptacyjne
Dwie wartości, które szybciej doprowadzają sprawcę do progu:
| Ustawienie | Znaczenie |
|---|---|
| Okno świeżego admina (minuty) | Kto w tym oknie dostał niebezpieczne uprawnienie, jest przy każdej niszczącej akcji oceniany wyżej |
| Próg nowego konta (dni) | Młodsze konta Discord są oceniane wyżej |
Oba to klasyczne oznaki przejętego albo specjalnie założonego konta atakującego.
Wspólna analiza zagrożeń
AlphaCloud działa na tysiącach serwerów. Dwa oddzielne przełączniki:
| Ustawienie | Znaczenie |
|---|---|
| Zgłaszaj sprawców | Udostępnia sieci ID Discord, typ wyzwalacza i czas potwierdzonego sprawcy |
| Korzystaj ze zgłoszeń sieci | Podnosi wskaźnik ryzyka członków, którzy zostali już zgłoszeni gdzie indziej |
Awaryjna blokada
Blokuje cały serwer. Albo automatycznie przy incydencie krytycznym, albo ręcznie przyciskiem Zablokuj teraz. Przyciskiem Zdejmij blokadę wracasz do normalnego stanu.
Incydenty
Na dole strony znajdziesz listę wszystkich incydentów ze sprawcą, wskaźnikiem zagrożenia i podjętą akcją. Przy każdym wpisie są dwa przyciski:
- Ułaskaw cofa środek i przywraca wcześniejsze role.
- Potwierdź bana sprawia, że sankcja staje się ostateczna.
Te same przyciski znajdują się też pod zgłoszeniem incydentu na kanale logów, dzięki czemu twój zespół może zareagować bezpośrednio na Discordzie.
Komenda
/lockdown blokuje serwer albo zdejmuje blokadę bez otwierania panelu. Komenda jest dostępna tylko wtedy, gdy Anty nuke jest aktywny.
Wymagane uprawnienia
Tutaj zdecydowanie zalecamy uprawnienie Administrator. Anty nuke musi móc zarządzać rolami, zarządzać kanałami, banować, wyrzucać i odczytywać dziennik zdarzeń Discorda, i to szybciej niż atakujący.