Анти-нюк
Распознаёт атаки на твой сервер, останавливает нарушителя и по возможности отменяет ущерб.
В панели: Модерация, Анти-нюк
Нюком называют ситуацию, когда кто-то с правами за короткое время всё уничтожает: удаляет каналы, удаляет роли, банит всех. Анти-нюк распознаёт такое по скорости и шаблону, а не по отдельному действию.
Как это работает
Каждое подозрительное действие повышает оценку угрозы того, кто его совершил. Если превышен Порог карантина, бот вмешивается. Если превышен критический порог, инцидент считается критическим и может запустить экстренную блокировку.
Поэтому один удалённый канал ещё не инцидент. А десять за двадцать секунд с аккаунта, который вчера стал админом, уже да.
Настройка
Включи модуль
Создай роль карантина
Нажми Создать роль карантина. Бот создаст роль и запретит ей доступ ко всем каналам. Через Синхронизировать роль карантина ты позже дополняешь это для новых каналов.
Выбери канал логов
Туда приходят сообщения об инцидентах вместе с кнопками, чтобы простить или подтвердить.
Заполни белый список
Внеси роли руководства и доверенных ботов, прежде чем включать защиту всерьёз.
Сохрани и проверь
Понаблюдай за каналом логов несколько дней, прежде чем ужесточать пороги.
Девять механизмов обнаружения
| Условие | Что оно распознаёт |
|---|---|
| Массовое удаление каналов | Много каналов удалено за короткое время |
| Массовое удаление ролей | Много ролей удалено за короткое время |
| Выдано опасное право | Кто-то раздаёт права администратора или аналогичные |
| Массовый бан | Много участников забанено за короткое время |
| Массовый кик | Много участников кикнуто за короткое время |
| Добавлен неодобренный бот | Только для ботов с расширенными правами, которых нет в белом списке |
| Бот кикнут или забанен | Кто-то, кроме владельца сервера, удаляет бота, только с переключателем из раздела ниже |
| Спам через вебхуки | Массовое создание вебхуков или злоупотребление ими |
| Опасное изменение настроек сервера | Например, понижение уровня безопасности сервера |
Белый список
| Настройка | Значение |
|---|---|
| Роли в белом списке | Участники с одной из этих ролей никогда не отмечаются как нарушители |
| Пользователи и боты в белом списке | Отдельные аккаунты, которые никогда не отмечаются |
Белый список ботов важен: без него добавление легитимного бота считается инцидентом.
В белый список стоит добавить и модераторов, которые часто банят или кикают много участников подряд (например, во время рейда). Это касается банов вручную так же, как /ban и /kick через AlphaCloud: и то, и другое засчитывается участнику, который это делает.
Блокировка вебхуков
Нюк-бот любит создавать вебхуки и спамить через них. Вебхук остаётся, даже если бота давно выгнали. Два отдельных переключателя, оба по умолчанию выключены:
| Настройка | Значение |
|---|---|
| Сразу удалять вебхуки ботов | Когда бот создаёт вебхук, AlphaCloud сразу его удаляет |
| Сразу удалять вебхуки участников | То же для участников, владелец сервера не затрагивается |
Боты и участники из белого списка могут и дальше создавать вебхуки. Подписка на канал объявлений всегда остаётся возможной. Удаление отображается с причиной в журнале аудита Discord, для этого боту нужно право Управлять вебхуками.
Важно: боты вроде PluralKit, Tupperbox или NQN работают только с вебхуками. Добавь их в белый список, прежде чем включать блокировку для ботов.
Удалять ботов может только владелец сервера
Атакующий часто первым делом выгоняет защитных ботов. Если включено Только владелец может кикать или банить ботов (по умолчанию выключено), AlphaCloud сразу считает нарушителем любого другого, кто кикнет или забанит бота, независимо от его уровня угрозы.
- Забаненный бот автоматически разбанивается.
- Вернуть кикнутого бота может только человек. Поэтому сообщение об инциденте в лог-канале и ЛС владельцу сервера содержат ссылку-приглашение бота.
- Исключения: владелец сервера, белый список и боты, которые сами ведут себя как нарушители. Так что того, кто выгнал нюк-бота, не накажут.
/kickи/banчерез AlphaCloud тоже засчитываются участнику, который использует команду.
Discord не позволяет ботам предотвратить кик или бан, поэтому AlphaCloud реагирует сразу после него. Если удалят сам AlphaCloud, он больше не сможет отреагировать.
Реакция
| Настройка | Значение |
|---|---|
| Действие для пользователей | Что происходит с нарушителем-человеком: карантин, кик или бан |
| Действие для ботов | То же самое для бота, например для скомпрометированной интеграции |
| Роль карантина | Забирает у нарушителя все остальные роли и закрывает ему обзор сервера |
| Уведомлять владельца сервера | ЛС владельцу, как только обнаружен инцидент |
Для людей рекомендуется карантин: атака сразу останавливается, но ты можешь вернуть роли, если это была ложная тревога. Бан окончателен.
Автоматический откат
Автоматически восстанавливает каналы и роли, которые нарушитель только что удалил.
Адаптивный риск
Два значения, которые быстрее доводят нарушителя до порога:
| Настройка | Значение |
|---|---|
| Окно для новых админов (минуты) | Тот, кто получил опасное право в пределах этого окна, оценивается выше при каждом разрушительном действии |
| Порог нового аккаунта (дни) | Аккаунты Discord моложе этого срока оцениваются выше |
И то и другое: классические признаки захваченного или специально созданного аккаунта атакующего.
Общая база угроз
AlphaCloud работает на тысячах серверов. Два отдельных переключателя:
| Настройка | Значение |
|---|---|
| Сообщать о нарушителях | Передаёт в сеть Discord ID, тип условия и время подтверждённого нарушителя |
| Использовать отчёты сети | Повышает оценку риска участников, о которых уже сообщали в другом месте |
Экстренная блокировка
Блокирует весь сервер. Либо автоматически при критическом инциденте, либо вручную через Заблокировать сейчас. Через Снять блокировку всё возвращается обратно.
Инциденты
Внизу страницы ты найдёшь список всех инцидентов с нарушителем, оценкой угрозы и принятым действием. У каждой записи две кнопки:
- Простить отменяет меру и восстанавливает прежние роли.
- Подтвердить бан делает наказание окончательным.
Те же кнопки есть и под сообщением об инциденте в канале логов, так что твоя команда может реагировать прямо в Discord.
Команда
/lockdown блокирует сервер или снимает блокировку, без необходимости открывать панель. Команда доступна, только если Анти-нюк включён.
Необходимые права
Здесь настоятельно рекомендуется право администратора. Анти-нюк должен уметь управлять ролями, управлять каналами, банить, кикать и читать журнал аудита Discord, и всё это быстрее атакующего.