„Discord“ serveris arba bendruomenės reidas: pažeistas roboto prieigos raktas, „Webhook“ šlamštas ir audito žurnalo atkūrimas¶

Pabusti iki tūkstančių @everyone pranešimų ping ir aptikimas, kad jūsų Discord bendruomenės serveris, žaidimų gildija arba subreddit vykdomas aktyvus koordinuotas reidas arba automatizuotas „serverio branduolinis ginklas“ yra didelės spartos skaitmeninė avarija. Per 30-90 sekundžių pažeista administratoriaus paskyra, užgrobtas roboto prieigos raktas arba nutekintas žiniatinklio kabliukas gali ištrinti dešimtis kanalų, masiškai uždrausti tūkstančius teisėtų narių, užtvindyti jūsų serverį kriptovaliutos piniginės ištuštinimo priemonėmis arba paskelbti rimtus paslaugų teikimo sąlygų pažeidimus (įskaitant vaizdus be sutikimo ar seksualinį vaikų seksualinį turinį, CSAM). Jei užpuolikas skelbia nelegalius CSAM, grasina terorizmu arba neišvengiamai grasina fiziniu smurtu, nedelsdami praneškite apie įrodymus naudodami mūsų pranešti apie neteisėtą ir žalingą turinį ir vaikų viliojimas, kontaktas su plėšrūnais ir NCMEC ataskaitų teikimas vadovus ir pasikonsultuokite su mūsų pasauliniu mastu pagalbos numeriai katalogą, jei kam nors gresia fizinis pavojus.

Norint sėkmingai sustabdyti reidą per mažiau nei 60 sekundžių, reikia diagnozuoti, kuris iš trijų atakos vektorių paveikia jūsų bendruomenę: 1. Išorinis prisijungimo banga / naudotojo roboto reidas: šimtai automatizuotų naudotojų paskyrų vienu metu užplūsta per pakvietimo nuorodą arba tuščią URL į šlamšto kanalus ir DM. 2. Webhook injekcijos ataka: užpuolikas, gavęs kanalo Webhook URL (discord.com/api/webhooks/...) potvyniai @everyone ping ir sukčiavimo nuorodos niekada neprisijungus prie serverio arba nepasirodant narių sąraše. 3. Vidinis privilegijų kompromisas („Server Nuke“): Moderatoriaus sesijos prieigos raktas (Local Storage / leveldb prieigos raktas, pavogtas informacijos vagystės kenkėjiškos programos) arba tinkinto roboto kūrėjo prieigos raktas (Bot ...) su Administrator leidimas pagrobtas, šaudoma DELETE /channels ir PUT /bans API skambučiai mašinos greičiu.

Šiame vadove pateikiamas tikslus 60 sekundžių avarinio užrakinimo protokolas, privaloma seka, kaip atšaukti pažeistus boto žetonus prieš užmušant nesąžiningą robotą, teismo ekspertizės audito žurnalo ištraukimas ir oficialus Discord Trust & Safety (dis.gd) ir Reddit Mod Support atkūrimo procedūros.

Padarykite tai dabar¶

1. ** Nedelsdami suaktyvinkite „Discord“ saugos veiksmų meniu „Pristabdyti kvietimus“ ir „Pristabdyti DM“ (užtruks 5 sekundes).** Viršuje kairėje spustelėkite savo Serverio pavadinimą -> pasirinkite Saugos veiksmai (arba Serverio nustatymai -> Saugos sąranka -> Reido apsauga) -> pažymėkite parinktį **Pristabdyti ir **nustatyti 2 DM ir trukmę. Valandos. Tai akimirksniu užblokuoja kiekvieną kvietimo nuorodą ir tinkintą Vanity URL, kad prisijungtų naujos reidų paskyros, tuo pačiu užšaldydami visus nepageidaujamus tiesioginius pranešimus.
2. ** Nuvalykite Administrator, Manage Channels, Manage Roles, Manage Webhooks, ir Ban Members leidimai iš @everyone vaidmenį IR iš jūsų personalo / roboto vaidmenų.** Atidarykite Serverio nustatymai -> Vaidmenys -> Numatytieji leidimai (@everyone) -> slinkite žemyn ir spustelėkite Išvalyti leidimus (arba aiškiai išjunkite Send Messages, Mention @everyone, @here, and All Roles, Attach Files, Embed Links, ir Create Public/Private Threads). Tada spustelėkite savo Moderatoriaus / Administratoriaus / Boto vaidmenys tiesiai po savininko vaidmeniu ir laikinai išjunkite Administrator, Manage Channels ir Ban Members sustabdyti aktyvų kanalo ištrynimo branduolį.
3. ** Patikrinkite Server Settings -> Audit Log PIRMA ir filtruokite pagal veiksmą (Delete Channel, Ban Member, Create Webhook, Update Role), kad nustatytumėte tikslią nesąžiningą paskyrą arba robotą.** Niekada neatspėkite, kuris moderatorius ar robotas vykdo branduolinį ginklą. Audito žurnale rodomas tikslus veikėjas, realiuoju laiku vykdantis API iškvietimus.
4. Jei tinkintas robotas nukenčia serverį, ATŠAUKITE jo boto prieigos raktą Discord kūrėjų portale (discord.com/developers/applications) arba panaikinti jo vaidmens leidimus PRIEŠ spardydamas ar uždrausdamas robotą. Jei pažeistas robotas turi Administrator arba Manage Server leidimo arba jei pažeistas administratorius vis dar yra serveryje, tiesiog paspardavus robotą, užpuoliko scenarijus gali nedelsiant iš naujo pakviesti robotą arba tęsti API iškvietimus, kol bus panaikintas jo prieigos raktas arba vaidmuo.
5. Jei šlamšto pranešimai sako APP arba BOT šalia keisto vardo, kurio NĖRA jūsų narių sąraše, atidarykite Server Settings -> Integrations -> Webhooks ir nedelsdami ištrinkite visus neatpažintus „Webhooks“. „Webhook“ šlamštas nekeliauja iš jūsų serveryje esančio vartotojo; jis stumiamas per HTTP POST užklausas nutekėjusiam „Webhook“ URL ir gali būti sustabdytas tik ištrynus Webhook skiltyje Integracijos -> Webhooks (arba atšaukus Manage Webhooks leidimai).
6. ** Išsaugokite pranešimo nuorodą, vartotojo ID (18-to-19-digit Snowflake ID) ir audito žurnalo ekrano kopijas PRIEŠ masinį nelegalaus turinio išvalymą.** Jei reidai paskelbė CSAM, žiaurų ar doxxing, kad įrėmintų jūsų serverį, nukopijuokite Auditų žurnalą, kuriame rodomas užpuoliko prisijungimo laiko žyma ir uždraudimo veiksmas, nukopijuokite nuolatinį užpuoliko Discord vartotojo ID ir praneškite apie pranešimą naudodami **Right a Report-Click, prieš paleisdami ->Right a Purge-Click. „Discord Trust & Safety“ duomenų bazėje jūs įrašomi kaip ataskaitų teikimo moderatorius, o ne bendrininkaujantis serverio savininkas.

Sprendimų medis: diagnozuoti ir sustabdyti aktyvų bendruomenės reidą per mažiau nei 60 sekundžių¶

Nustatykite, kuri iš keturių reido mechanikų vyksta šiuo metu, ir atlikite tikslią atitinkamą nužudymo perjungimo seką žemiau.

flowchart TD
    RaidStart["Aptiktas aktyvus serverio reidas, šlamšto užtvindymas arba kanalo ištrynimas"] --> PauseInvites["1 ŽINGSNIS: Spustelėkite Serverio pavadinimas -> Saugos veiksmai -> Įgalinkite „Pristabdyti kvietimus“ ir „Pristabdyti DM“"]
    PauseInvites --> AuditCheck["2 ŽINGSNIS: Atidarykite Serverio nustatymai -> Audito žurnalas, kad nustatytumėte veikėją"]
    AuditCheck --> VectorType{"Ką rodo audito žurnalas arba pokalbis?"}
    VectorType -->|"Šimtai naujų paskyrų prisijungia prie pokalbių ir siunčia šlamštą"| JoinRaid["IŠORINIS PRISIJUNGIMO RAID: ištrinkite @visi „Siųsti pranešimus“, „Pridėti failus“ ir „Paminėti @visus“ -> Pakelkite patvirtinimo lygį iki „Aukščiausio (patvirtintas telefonas)“ -> Įgalinkite „AutoMod“ minėjimo šlamšto filtrą"]
    VectorType -->|"Žinutės, pažymėtos kaip „APP/BOT“, Šlamštas @visi, aktorius nėra narių sąraše"| WebhookRaid["WEBHOOK SPAM ATTACK: Atidarykite serverio nustatymus -> Integracijos -> Webhooks -> Ištrinkite visus neatpažintus žiniatinklio kabliukus -> Patikrinkite, kas juos sukūrė audito žurnale"]
    VectorType -->|"Moderatoriaus arba administratoriaus žmogaus paskyra trina kanalus / uždraudžia vartotojus"| ModCompromised["PAKEISTAS MODERATORIAUS ŽEŠIMAS: vilkite modifikavimo vaidmenį žemiau savo arba panaikinkite vaidmens leidimus -> uždrausti pažeistą modifikavimo paskyrą -> nuvalykite modifikaciją užkrėstą kompiuterį ir iš naujo nustatykite slaptažodį"]
    VectorType -->|"„Bot“ paskyra masiškai ištrina kanalus, kuria vaidmenis arba uždraudžia"| BotNuke["NUKE PAGRINDAS BOTO ŽEIKLAS: panaikinkite Boto valdomų vaidmenų leidimus iki nulio -> Iš naujo nustatykite roboto prieigos raktą kūrėjų portale (discord.com/developers) -> Kick/Ban Bot & Revoke OAuth2"]
    JoinRaid --> EvidenceClean["3 ŽINGSNIS: Praneškite apie bet kokius neteisėtus kadravimo įrašus naudodami ataskaitą pirmiausia programoje -> Vykdykite masinį pranešimų išvalymą / atkūrimą"]
    WebhookRaid --> EvidenceClean
    ModCompromised --> EvidenceClean
    BotNuke --> EvidenceClean

1 dalis: 60 sekundžių avarinio užrakinimo protokolas (kraujavimo sustabdymas)¶

Kai prasideda reidas arba serverio branduolinis ginklas, moderatoriai negali rankiniu būdu uždrausti paskyrų greičiau nei automatinis Python arba Go scenarijus, suaktyvinantis tuo pačiu metu užklausas prieš Discord REST API (50 requests per second). Turite atjungti užpuoliko API galimybes serverio konfigūracijos lygiu.

1. Kaip užšaldyti vartotojo ir roboto prisijungimo reidą per 15 sekundžių¶

Jei šimtai išmestų paskyrų prisijungia prie jūsų serverio ir užtvindo kanalus arba masiškai perduoda jūsų narius padirbtais "Free Nitro" arba "Crypto Airdrop" sukčiavimo nuorodos: 1. Suaktyvinkite „Saugos veiksmus“ (Pause Invites + Pause DMs): - Spustelėkite išskleidžiamąjį meniu Serverio pavadinimas (viršuje kairėje) -> Saugos veiksmai. - Pažymėkite Pristabdyti kvietimus (grąžina "Invites are currently paused for this server" prie bet kurios išorinės nuorodos arba „Vanity URL“ paspaudimo) ir Pristabdyti DM (blokuoja serverio draugus, kad jie negalėtų inicijuoti naujų tiesioginių pranešimų gijų). 2. Pakelkite patvirtinimo lygį iki maksimalaus (Highest - Phone Verified): - Eikite į Serverio nustatymai -> Saugos sąranka -> Patvirtinimo lygis -> spustelėkite Keisti -> pasirinkite Aukščiausias (Discord paskyroje turi būti patvirtintas telefonas). - Dauguma automatizuotų reidų botnetų remiasi pigiais el. paštu patvirtintais žetonais ($0.01 per token), o ne SMS patvirtintas paskyras. Perjungus į Aukščiausią, iš karto blokuojami nepatvirtinti robotų prieigos raktai, esantys serveryje, ir jie negalės siųsti pranešimų ar susirašinėjimo nariams. 3. ** Užraktas @everyone Kanalo leidimai visame pasaulyje:** - Eikite į Serverio nustatymai -> Vaidmenys -> Numatytieji leidimai (@everyone). - IŠJUNGTI: - Send Messages ir Send Messages in Threads - Create Public Threads ir Create Private Threads - Attach Files ir Embed Links - Add Reactions ir Use External Emoji / Stickers - Mention @everyone, @here, and All Roles - Kritinis kanalo leidimo nepaisymo patikrinimas: jei konkretus kanalas (pvz., #general arba #chat) yra žalia varnelė (Allow) nepaisyti @everyone vaidmenį Send Messages Redaguoti kanalą -> Leidimai, pakeitus visuotinį serverio nustatymų vaidmenį ne nebus užrakintas tas kanalas. Jei kanalas vis dar slenka su šlamštu, spustelėkite krumpliaračio piktogramą (Redaguoti kanalą) -> Leidimai -> @everyone ir nustatykite Send Messages į Raudoną X (Deny) arba įjunkite Lėtą režimą (6 hours).

2. Kaip per 15 sekundžių sustabdyti „Webhook Spam“ ataką¶

Daugelis serverių savininkų panikuoja galvodami, kad visas jų serveris buvo nulaužtas, nes vartotojas pavadino jį "Server Nuke Syndicate" su APP (anksčiau BOT) ženklelis skamba @everyone 5 kartus per sekundę #announcements ir negalima spustelėti dešiniuoju pelės mygtuku ir uždrausti. - Kodėl negalite uždrausti „Webhook“: „Discord Webhook“ yra paprastas HTTP galutinis taškas (https://discord.com/api/webhooks/{webhook.id}/{webhook.token}). Kiekvienas, gavęs tą URL (dėl to, kad moderatorius netyčia parodė jį tiesioginiame sraute, perdavė jį viešajai „GitHub“ saugyklai arba sukūrė pažeistą modifikavimo paskyrą), gali siųsti neribotą JSON apkrovą į tą kanalą net nebūdamas jūsų „Discord“ serverio narys. - Kaip jį nedelsiant nužudyti: 1. Atidarykite Serverio nustatymai -> Integracijos -> Webhooks. 2. Peržiūrėkite „Webhooks“ sąrašą ir sužinokite, į kurį kanalą kiekvienas nukreipia. 3. Spustelėkite kiekvieną neatpažintą „Webhook“ ir spustelėkite Ištrinti „Webhook“ (arba spustelėkite Kopijuoti „Webhook“ URL, jei norite pirmiausia peržiūrėti teismo ekspertizės žurnalus, tada Ištrinti „Webhook“). Šlamštas sustabdo milisekundę, kai „Webhook“ ištrinama. 4. Nedelsdami atidarykite Serverio nustatymai -> Audito žurnalas -> Filtruoti pagal veiksmą: Create Webhook norėdami pamatyti, kuris moderatorius arba roboto paskyra sukūrė tą Webhook. Jei moderatoriaus paskyra sukūrė „Webhook“ 3 val. ryto be jo žinios, tam moderatoriaus „Discord“ seanso prieigos raktas yra pažeistas: atimkite jo vaidmenį ir nedelsdami išmeskite paskyrą.

2 dalis: vidinio „serverio branduolio“ sustabdymas (sukompromituotas moderatorius ir pažeistas roboto prieigos raktas)¶

„Server Nuke“ įvyksta, kai užpuolikas pažeidžia paskyrą arba robotą, turintį padidintus administracinius leidimus (Administrator, Manage Channels, Manage Roles, Ban Members, Manage Webhooks) ir paleidžia automatizuotą naikinimo scenarijų (Nuker). Per 10 sekundžių scenarijus peržiūri kiekvieną kanalo ID, kad ištrintų visus teksto ir balso kanalus, sukuria 250 naujų kanalų pavadinimu #nuked-by-xxx, ištrina visus serverio vaidmenis ir suaktyvina masinio uždraudimo užklausas dėl narių sąrašo.

1. Nesantaika vaidmenų hierarchijos taisyklė (kodėl galite arba negalite sustabdyti nesąžiningą administratorių)¶

Nesantaika užtikrina griežtą vertikalią Vaidmenų hierarchiją Serverio nustatymai -> Vaidmenys: - Serverio savininkas (karūnos turėtojas) yra virš kiekvieno vaidmens serveryje ir gali panaikinti arba uždrausti bet kurį žmogų ar robotą, nepaisant vaidmenų eilės. - Bet kuris administratorius, kuris nėra savininkas, gali TIK modifikuoti, panaikinti arba uždrausti vartotojus ir robotus, kurių aukščiausias vaidmuo yra fiziškai žemiau jų pačių aukščiausias vaidmuo sąraše Serverio nustatymai -> Vaidmenys. - Jei pažeisto roboto valdomas vaidmuo yra adresu #2 vaidmenų sąraše ir jūsų patikimi vyriausieji administratoriai #3Jūsų pagrindiniai administratoriai yra bejėgiai užmušti robotą arba redaguoti jo vaidmenį, kol jūs (serverio savininkas) miegate.

2. Tiksli seka, kaip neutralizuoti pažeisto roboto branduolinį ginklą¶

Jei Auditų žurnale rodoma, kad roboto paskyra (jūsų tinkinto serverio robotas arba trečiosios šalies robotas, kuris buvo pažeistas) trina kanalus arba uždraudžia narius, vadovaukitės tiksliai nurodyta 3 žingsnių tvarka:

3. Kaip moderatoriams pavogti Discord žetonai (ir kodėl 2FA to nestabdo)¶

Kodėl jūsų patikimiausias moderatorius, kurio „Discord“ paskyroje įjungta SMS ir Authenticator App 2FA, staiga pradėjo naikinti serverį 4:00 val. - Kaip veikia „Discord“ autentifikavimo prieigos raktai: „Discord“ darbalaukio klientas (sukurtas Electron / Chromium) ir žiniatinklio naršyklės saugo nuolatinį vartotojo autentifikavimo prieigos raktą vietinėje šifruotoje saugykloje (%AppData%\discord\Local Storage\leveldb sistemoje „Windows“). - ** 3 žetonų vagystės vektoriai:** 1. Netikros žaidimo beta versija / patvirtinimo kenkėjiška programa (Lumma, RedLine, Blank Grabber, Emerald Stealer): Reido grupė praneša jūsų moderatoriui, prašydama išbandyti nepriklausomą žaidimą arba peržiūrėti apeliaciją už draudimą. .zip failą. Kenkėjiška programa ištraukia moderatoriaus iššifruotą „Discord“ prieigos raktą IR dažnai pakeičia „Discord“ darbalaukio kliento vietinį „JavaScript“ (core.asar / index.js injekcija), kad net moderatoriui pakeitus slaptažodį, Trojanizuota „Discord“ programa iš karto siųstų naują prieigos raktą atgal į užpuoliko „webhook“. 2. Kenkėjiška žymelė arba kūrėjų pultas (F12) Socialinė inžinerija: sukčiai apgaudinėja vartotojus, kad jie nutemptų žymelę „Patvirtinti paskyrą“ į naršyklės juostą arba įklijuotų fragmentą į Ctrl + Shift + I konsolė, kuri nuskaito tiesioginį prieigos raktą tiesiai iš atminties. 3. Netikras „Captcha Verification Bot“ QR kodo nuskaitymas (Wick / DoubleCounter Klonai): Užpuolikai siunčia netikrą serverio patvirtinimo pranešimą, prašydami moderatoriaus: "Nuskaitykite šį QR kodą naudodami Discord Mobile App, kad patvirtintumėte, jog esate žmogus." Nuskaitę Discord prisijungimo QR kodą mobiliojoje programėlėje, užpuoliko darbalaukio naršyklei akimirksniu suteikiama visa prisijungimo prie paskyros seanso prieiga, visiškai apeinant slaptažodį ir 2FA.

3 dalis: Reddit bendruomenė (Subreddit) Reidas ir pažeisto moderatoriaus atkūrimas¶

Jei moderuojate Reddit bendruomenę (r/YourSubreddit) ir sužinokite, kad pažeista moderatoriaus paskyra panaikino CSS / Wiki, uždraudė šimtus vartotojų, pakeitė subreddit aprašymą sukčiavimo nuorodomis arba nustatė subreddit į Privatus / Apribotas arba kad eilę užtvindo tūkstančiai koordinačių brigadų robotų:

1. Nedelsiant Subreddit Lockdown & Rogue Moderator pašalinimas¶

1. Patikrinkite moderatoriaus hierarchiją (Mod Tools -> Moderators):
2. Kaip ir „Discord“, „Reddit“ moderatorių sąraše taiko griežtą iš viršaus į apačią vyresnybės hierarchiją, atsižvelgdama į kiekvieno moderatoriaus įtraukimo datą.
3. Bet kuris moderatorius, turintis Everything (Visi leidimai) žyma gali pašalinti arba panaikinti leidimus iš bet kurio moderatoriaus, nurodyto po jo puslapyje, bet negali liesti jokio virš jų nurodyto moderatoriaus.
4. Jei moderatorius, kuriam buvo pakenkta, yra sąraše žemiau, jūs: nedelsdami atidarykite Mod Tools -> Moderators -> Editable, spustelėkite pieštuko piktogramą šalia pažeisto moderatoriaus, panaikinkite žymėjimą Everything ir spustelėkite Pašalinti.
5. ** Apžiūrėkite Mod Log (https://www.reddit.com/r/YOURSUBREDDIT/about/log):**
6. Filtruokite Moderavimo žurnalą pagal pažeisto moderatoriaus vartotojo vardą (Moderator išskleidžiamajame meniu) ir Veiksmas (banuser, wikirevise, editsettings, removelink, removemoderator).
7. ** Išorinio brigados reido metu suaktyvinkite „Reddit“ minios valdymą ir saugos filtrus:**
8. Atidarykite Mod Tools -> Safety Filters -> Crowd Control.
9. Nustatykite Įrašo lygį ir Komentarų lygį į Maksimalų / Griežtą (automatiškai saugomi komentarai ir įrašai iš naudotojų, turinčių neigiamą subreddit karmą, visiškai naujų paskyrų ir vartotojų, kurie neprisijungė prie bendruomenės prieš prasidedant reidui).
10. Įgalinkite Priekabiavimo filtrą ir Uždraudimo vengimo filtrą (kuris naudoja „Reddit“ vidinio įrenginio pirštų atspaudus ir IP telemetriją, kad automatiškai pašalintų įrašus iš naujai sukurtų uždraustų reiderių alternatyvių paskyrų).
11. ** Pridėkite nedelsiant AutoModerator Avarinio užrakinimo taisyklė:**
12. Atidarykite Mod Tools -> Automod (wiki/config/automoderator) ir įklijuokite šiuos momentinius avarinius vartus viršuje, kad sulaikytumėte arba pašalintumėte visus įrašus / komentarus iš paskyrų, jaunesnių nei 30 dienų arba su žema subreddit karma:

    ---
    # EMERGENCY RAID LOCKDOWN RULE
    type: any
    author:
        account_age: "< 30 days"
        combined_subreddit_karma: "< 10"
        satisfy_any_threshold: true
    action: filter
    action_reason: "Emergency Raid Lockdown: New account or low subreddit karma [{{match}}]"
    ---
    

2. Ką daryti, jei jūsų „Subreddit“ „geriausias moderatorius“ buvo pažeistas (ir pašalino modifikavimo komandą)¶

Jei #1 geriausio moderatoriaus paskyra jūsų subreddite buvo užgrobta (arba nupirkta kriptovaliutų / tik gerbėjų šlamšto sindikato) ir pašalinta visa teisėta moderavimo komanda: 1. ** NEbandykite paleisti savo užgrobto subreddito.** 2. Tegul antras pagal dydį pašalintas moderatorius nusiunčia Modmail laišką tiesiai į r/ModSupport (https://www.reddit.com/message/compose?to=/r/ModSupport&subject=Compromised+Top+Moderator+Emergency+Rollback). 3. ** Kodėl r/ModSupport Modmail yra oficialus eskalavimo kanalas:** Skirtingai nuo viešųjų įrašų r/redditrequest (kurie skirti apleistiems subredditams), r/ModSupport „Modmail“ tiesiogiai dirba „Reddit“ bendruomenės administratoriai, aprūpinti vidiniu Mod Action Rollback Tool. 4. Pateikite: - Tikslus subreddit pavadinimas (r/...); - Pažeisto aukščiausio moderatoriaus vartotojo vardas (u/...); - Tiksli UTC laiko žyma, kai teisėta modifikavimo komanda buvo išvalyta ir wiki / šoninė juosta / kaiščiai buvo suniokoti; - Modmail pašalinimo pranešimų ekrano kopijos. 5. Ką „Reddit Admins“ atkuria: „Reddit“ administratoriai užrakina pažeistą aukščiausiojo moderatoriaus paskyrą, atšaukia visus moderatoriaus pašalinimus, draudimus, „wiki“ redagavimus ir įrašų ištrynimus, atliktus pažeidimo lango metu, ir atkuria aukščiausią išlikusį moderatorių. #1 Top Moderator sėdynė.

4 dalis: atkūrimas po reido: ar galima atkurti ištrintus nesantaikos kanalus ir masiškai uždraustus vartotojus?¶

Sustabdžius reidą ir pašalinus nesąžiningą robotą / moderatorių, serverių savininkai susiduria su sunkiausia „Discord“ architektūros veikimo realybe:

1. Ar „Discord Support“ atkuria ištrintus kanalus arba pranešimus po serverio nuke?¶

• Sudėtinga techninė realybė: Skirtingai nuo „YouTube“ (kurioje ištrintos vaizdo įrašų dėmės laikomos šaltoje saugykloje 14-30 dienų) arba „Reddit“ (kur „pašalinti“ įrašai yra tik paslėpti, o administratoriai gali grąžinti modifikacijų žurnalą), kai kanalas ištrinamas „Discord“ (DELETE /channels/{id}), Discord Cassandra / ScyllaDB duomenų bazė visam laikui išvalo kanalo objektą ir visas jame esančias pranešimų eilutes.
• Discord Trust & Safety NEGALI atkurti ištrintų kanalų, ištrintų vaidmenų ar ištrintų pranešimų istorijos po to, kai pažeistas administratorius arba robotas užblokavo serverį.
• Ką gali atkurti „Discord Trust & Safety“: jei visas jūsų serveris buvo nutrauktas / išjungtas „Discord Trust & Safety“, nes užpuolikai išsiuntė kenkėjišką turinį, kad įrėmintų jus, arba jei jūsų Serverio savininko paskyra buvo užgrobta ir užpuolikas perdavė serverio nuosavybės teisę (Transfer Ownership). https://dis.gd/request** leidžia „Discord“ darbuotojams perkelti Server Owner Crown atgal į jūsų atkurtą paskyrą.

2. Kaip greitai atkurti kanalus ir vaidmenis bei panaikinti masiškai uždraustus narius¶

1. Kanalų ir vaidmenų atkūrimas (serverio šablonai ir atsarginiai robotai):
2. Jei anksčiau sukūrėte vietinį Discord serverio šabloną (Server Settings -> Server Template) arba padarėte konfigūracijos momentinę kopiją naudodami patikimą atsarginį robotą (pvz., Xenon Bot, kuris kuria atsargines kanalų hierarchijų, vaidmenų spalvų ir leidimų perrašymo kopijas, nors ir ne istorinius naudotojo pranešimus), galite atkurti kanalą ir vaidmens skeletą per mažiau nei 2 minutes.
3. Masinis atbulinis draudimas per audito žurnalą:
4. Jei pažeistas robotas uždraudė 500 teisėtų narių per 2 minučių branduolinį ginklą, atidarykite Serverio nustatymai -> Audito žurnalas -> Filtruoti pagal veiksmą: Ban Member -> Filtruoti pagal naudotoją: [The Compromised Bot/Mod].
5. Kiekvienas uždraudimo įrašas audito žurnale rodo tikslų uždraustos aukos vartotojo ID ir laiko žymą per tą 2 minučių laikotarpį. Galite juos panaikinti rankiniu būdu naudodami Serverio nustatymai -> Draudimai arba naudokite patikimą moderavimo boto komandą (pvz., Carl-bot, Dyno arba paprastą 15 eilučių administracinio scenarijaus skaitymą guild.audit_logs(action=discord.AuditLogAction.ban) filtruojamas griežtai iki entry.user.id == COMPROMISED_ACTOR_ID) automatiškai skambinti guild.unban(entry.target) kiekvienam teisėtam nariui, kurį uždraudė tas nesąžiningas veikėjas.
6. Išvalyti tūkstančius reido pranešimų neištrinant kanalo:
7. Jei kanalą užlieja 2 000 reidų šlamšto pranešimų, neištrinkite ir neklonuokite kanalo, nebent norite prarasti visus senesnius teisėtus pranešimus, prisegtus pranešimus ir „Webhook“ integracijas.
8. Vietoj to naudokite Discord integruotą Dešiniuoju pelės mygtuku spustelėkite Raider -> Uždrausti -> Ištrinti pranešimų istoriją: Previous 24 Hours (arba Previous 7 Days), kuri automatiškai išvalo kiekvieną to Raiderio išsiųstą pranešimą visuose serverio kanaluose vienu metu.
9. Jei norite gauti kelių paskyrų šlamšto, naudokite patvirtintą moderavimo robotą /purge komanda (up to 100 to 1,000 messages under 14 days old per Discord masinio ištrynimo API galutinį tašką).

5 dalis: Nuolatinės nesantaikos ir bendruomenės užpuolimo kontrolinis sąrašas¶

Kai serveris bus stabilizuotas, sukonfigūruokite šias šešias įmontuotas nulinės sąnaudos architektūrines apsaugos priemones, kad nei išorinis reidų botnetas, nei vienas užkrėstas moderatoriaus kompiuteris daugiau niekada negalėtų nukedyti jūsų serverio:

1. Įgalinkite „Discord“ „AutoMod“ vietinius filtrus (Server Settings -> Safety Setup -> AutoMod)¶

„Discord“ gimtoji AutoMod perima ir blokuoja reidų siuntas prieš pranešimo pateikimą pokalbyje arba suaktyvina tiesioginį pranešimą narių telefonuose: - Blokuoti paminėjimo šlamštą: nustatykite Minimo limitą į 5 (arba 3) unikalūs paminėjimai vienoje žinutėje ir pasirinkite Blokuoti pranešimą + skirtasis narys (1 Hour arba 24 Hours) + Siųsti įspėjimą. Dėl to reideriui fiziškai neįmanoma išsiųsti ping 30 vartotojų viename pranešime. - Blokuoti įtariamą šlamšto turinį ir dažnai pažymėtus žodžius: ĮJUNGTI abu integruotus sąrašus. - Tinkintų raktinių žodžių ir reguliariųjų reiškinių taisyklės sukčiavimui: pridėkite tinkintą „AutoMod“ taisyklę, blokuojančią įprastus sukčiavimo modelius: - Raktiniai žodžiai: *discord.gift*, *steamcommunity.com/gift*, *free nitro*, *airdrop claim*, *t.me/*, *whatsapp.com*. - Regex šablonai, užfiksuojantys užmaskuotas kvietimo nuorodas: (?:https?://)?(?:www\.)?(?:discord\.(?:gg|io|me|li)|discordapp\.com/invite)/[a-zA-Z0-9-]+ (neatsižvelgiant į jūsų darbuotojų vaidmenis).

2. Įgalinkite „Reikalauti 2FA moderatoriaus veiksmams“ (Server Settings -> Safety Setup -> Permissions)¶

• Įjungus Visame serveryje reikalaujamą 2FA reikalavimą, „Discord“ API turi patikrinti, ar bet kuris vartotojas, bandantis ištrinti kanalus, uždrausti narius, valdyti vaidmenis ar žiniatinklio kabliukus, turi aktyvų dviejų veiksnių autentifikavimą savo paskyroje.
• ** Dar svarbiau, nuimkite Administrator VISŲ Žmogaus Moderatoriaus vaidmenų ir 99 % Botų leidimas:**
• Auksinė nesantaikos saugumo taisyklė: beveik jokiam moderatoriui ir jokiam bendrosios paskirties robotui niekada nereikia Administrator jungiklis įjungtas.
• Kodėl? The Administrator perjungti suteikia visišką apeiti per kiekvieną kanalo užraktą, suteikia Manage Webhooks, dotacijos Manage Server, ir leidžia pažeistam modui per 3 sekundes paleisti serverį.
• Vietoj to, duokite savo moderatoriams tik Kick Members, Ban Members, Moderate Members (Timeout), ir Manage Messages. Suteikite jiems nulio leidimą Delete Channels, Manage Roles, arba Manage Webhooks. Jei moderatoriaus kompiuteris užkrėstas žetonų vagystės priemone, užpuolikas negali ištrinti vieno kanalo ir negali sukurti vieno „webhook“.

3. Įdiekite „Bot karantino ir kovos su branduoliniu greičiu ribojimą“¶

• Auditas Server Settings -> Integrations Kas mėnesį: pašalinkite kiekvieną nenaudojamą muzikos robotą, mini žaidimų robotą arba patvirtinimo robotą, kurį pridėjote prieš metus. Per kelis didelius istorinius reidus apleisto trečiosios šalies roboto debesies serveris buvo pažeistas įsilaužėlių, kurie panaudojo jo neveikiantį režimą. Administrator vaidmuo vienu metu reiduoti 10 000 serverių.
• ** Niekada nesuteikite Administrator Kviečiant robotą:** autorizuojant robotą naudojant OAuth2 URL (discord.com/oauth2/authorize?...&permissions=8), atkreipkite dėmesį į tai permissions=8 yra pilnas bitų laukas Administrator. Panaikinkite žymėjimą Administrator „OAuth“ raginime ir suteikite tik konkrečius leidimus, kurių reikia robotui.
• Neprivaloma Anti-Nuke Watchdog: dideliuose serveriuose (10,000+ members), įdėkite patvirtintą Anti-Nuke Rate-Limiter Bot (pvz., Wick) savo vaidmenų hierarchijos viršuje (#1 Position tiesiai po serverio savininku)**, sukonfigūruotas taip, kad jei kuris nors moderatorius ar robotas ištrina daugiau nei 2 kanalus per 60 sekundžių arba uždraudžia daugiau nei 5 naudotojus per 60 sekundžių, sargybinis šio aktoriaus vaidmenis panaikina iki nulio per 200 milisekundžių.

Regioniniai pagalbos numeriai ir agentūrų protokolai¶

Kai bendruomenės reidai apima sunkius elektroninius nusikaltimus, turto prievartavimą, grasinimus užmušti arba seksualinės prievartos prieš vaikus medžiagos platinimą (CSAM), nedelsdami vykdykite šiuos oficialius pranešimo protokolus:

• Visuotinės CSAM ataskaitos (privaloma): niekada neatsisiųskite, neišsaugokite ir nepersiųskite ekrano kopijų, kuriose yra CSAM. Naudokite „Discord“ programoje esantį Pranešimo pranešimą -> Vaiko savęs žalojimo arba seksualinės prievartos medžiaga (kuri perduoda tikslią serverio priedo maišą ir įkėlėjo IP tiesiai į Nacionalinį dingusių ir išnaudojamų vaikų centrą, NCMEC CyberTipline) arba praneškite adresu report.cybertip.org (1-800-843-5678) JAV arba Internet Watch Foundation (iwf.org.uk) JK/ES. Žr vaikų viliojimas, kontaktas su plėšrūnais ir NCMEC ataskaitų teikimas.
• Jungtinės Valstijos: praneškite apie turto prievartavimo reidus, užpuolimo grasinimus ar DDoS atakas FTB skundų dėl nusikaltimų internete centrui (ic3.gov). Jei moderatorius buvo nublokštas ir jam buvo grasinama netikru skubios pagalbos siuntimu („Swatting“), nedelsdami paskambinkite vietinei policijai ne skubios pagalbos siuntimo tarnybai, kad jūsų adresu patalpintumėte Swatting / Premise Alert Note. Dėl tiesioginio fizinio pavojaus skambinkite 911.
• Kanada: Praneškite apie kibernetinį turto prievartavimą ir neteisėto turinio reidus Kanados vaikų apsaugos centrui (cybertip.ca), Kanados kovos su sukčiavimu centras (1-888-495-8501) arba vietos policija (911 kritiniais atvejais).
• Jungtinė Karalystė: Praneškite apie piktnaudžiavimą kompiuteriu ir kibernetinį turto prievartavimą Action Fraud (actionfraud.police.uk, 0300 123 2040) ir pranešti apie neteisėtą piktnaudžiavimą Internet Watch Foundation (iwf.org.uk) arba ** CEOP (ceop.police.uk)**. Pagalbos numeris: 999 arba 112 (ne skubios pagalbos policija: 101).
• Europos Sąjunga: praneškite apie neteisėtą neapykantą kurstančią kalbą, teroristinį turinį arba CSAM reidus per savo nacionalinę INHOPE (inhope.org) karštoji linija ir policijos kovos su elektroniniais nusikaltimais skyrius pagal ES skaitmeninių paslaugų įstatymą (DSA). Pagalbos numeris: 112.
• Australija ir Naujoji Zelandija: Australijoje praneškite apie sunkų kibernetinį piktnaudžiavimą ar neteisėtą reido medžiagą eSafety Commissioner (esafety.gov.au) ir ReportCyber (cyber.gov.au, 1300 292 371). Naujojoje Zelandijoje praneškite Netsafe (netsafe.org.nz, 0508 638 723). Pagalbos numeriai: 000 (Australija), 111 (Naujoji Zelandija).
• Indija ir Azijos ir Ramiojo vandenyno regionas: Indijoje nedelsdami pateikite ataskaitą Nacionaliniame pranešimų apie elektroninius nusikaltimus portale (cybercrime.gov.in, pagalbos linija 1930). Peržiūrėkite visą mūsų katalogą adresu pagalbos numeriai.

Dažnai užduodami klausimai¶

Kodėl yra @everyone šlamšto ping vis dar rodomi po to, kai uždraudiau reidus ir užrakinau @everyone leidimai?¶

Kai šlamšto pranešimai ir toliau patenka į kanalą su **`APP`** arba **`BOT`** žymą šalia naudotojo vardo ir negalite dešiniuoju pelės mygtuku spustelėti vartotojo, kad jį uždraustumėte, užpuolikas naudoja **Discord Webhook**, o ne vartotojo abonementą. Webhooks nerodomas jūsų serverio narių sąraše ir ignoruojamas `@everyone` vaidmens siuntimo pranešimo apribojimai. Atidarykite **Serverio nustatymai -> Integracijos -> Webhooks**, suraskite Webhook, nukreipiantį į paveiktą kanalą, ir spustelėkite **Ištrinti Webhook**. Po to pažymėkite **Serverio nustatymai -> Audito žurnalas**, filtruojamas pagal `Create Webhook` norėdami pamatyti, kuris moderatorius ar robotas jį sukūrė.

Jei serverio branduolinio ginklo metu užmušu pažeistą robotą arba jį uždrauju, kaip jis pats gali vėl prisijungti?¶

Botas negali pakviesti savęs grįžti pats, **bet** jei užpuolikas taip pat pakenkė žmogaus moderatoriaus Discord seanso žetonui (arba jam buvo suteiktas `Manage Server` / `Administrator` paslėptam antriniam vaidmeniui, kol robotas valdė), užpuoliko scenarijus naudoja tą žmogaus prieigos raktą, kad iš naujo įgaliotų roboto OAuth2 kvietimo URL (`permissions=8`) sekundės dalį po to, kai jį paspyri. Pirmiausia panaikinus boto vaidmens leidimus iki nulio, iš naujo nustatant Bot Token viduje `discord.com/developers/applications`, ir tikrindami **Auditų žurnalą**, ar nėra neteisėtų vaidmenų, suteiktų žmonėms, atjungiate ir robotą, ir jo pakartotinio kvietimo vektorių.

Ar „Discord Support“ gali grąžinti mano serverį ir atkurti ištrintus kanalus, jei įsilaužėlis jį nublokš?¶

Ne. Skirtingai nei „Reddit“ ar „YouTube“, „Discord“ savo duomenų bazės serveriuose neišsaugo ištrintų kanalų, ištrintų vaidmenų ar ištrintų pranešimų momentinių nuotraukų. Kartą a `DELETE /channels/{id}` API užklausa vykdoma turint sąskaitą `Manage Channels` arba `Administrator` leidimo, tie kanalai ir jų pranešimų istorijos ištrinami visam laikui. Tačiau, jei įsilaužėlis perkėlė **Serverio nuosavybės teisę** iš jūsų pažeistos paskyros arba jei jūsų serverį klaidingai išjungė Trust & Safety per kadravimo reidą, pateikite bilietą adresu `dis.gd/request` Pagal **Įlaužta paskyra / serverio nuosavybė** leidžia „Discord Support“ grąžinti jums serverio savininko karūną.

Informacijos vagystė užgrobė moderatoriaus paskyrą ir užgrobė mūsų serverį. Ar saugu juos modifikuoti pakeitus slaptažodį?¶

Niekada neatkurkite moderatoriaus leidimų pažeistam darbuotojui vien dėl to, kad jie pakeitė slaptažodį tame pačiame kompiuteryje. Šiuolaikiniai „Discord“ žetonų vagystės (`Lumma`, `Blank Grabber`, `RedLine`) įterpkite nuolatinius „JavaScript“ krovinius tiesiai į „Discord“ darbalaukio programą `index.js` / `core.asar` failus `%AppData%\discord`. Vos tik moderatorius vėl prisijungs prie to nenuvalyto kompiuterio, įvestas scenarijus pavagia visiškai naują prieigos raktą ir siunčia jį atgal įsilaužėliui. Prieš suteikdami jam vaidmenis, reikalaukite, kad moderatorius švariai iš naujo įdiegtų „Windows“ USB USB.

Kaip apsaugoti savo serverį nuo „netikros QR kodo patvirtinimo“ aferos, kuri užgrobia moderatorius ir narius?¶

Išmokykite savo darbuotojus ir bendruomenę, kad **nėra teisėto „Discord“ patvirtinimo roboto (`Wick`, `DoubleCounter`, `Pandez`, `Sledgehammer`). Išmokykite moderatorius išjungti gaunamus DM iš ne draugų skiltyje **Vartotojo nustatymai -> Turinys ir socialiniai tinklai -> Socialiniai leidimai** ir niekada nenuskaityti QR kodo ir nevykdyti `.exe`/`.zip` failas išsiųstas DM.

Susiję vadovai¶

• Socialinės žiniasklaidos paskyros perėmimas ir įsilaužimas
• Pranešti apie neteisėtą ir žalingą turinį internete
• Vaikų viliojimas, kontaktai su plėšrūnais, nepilnamečių sekso prievarta ir NCMEC pranešimai
• Priekabiavimas internete, doksas ir patyčios internete
• Kūrėjo kanalą užgrobė kriptovaliutų aferos tiesioginės transliacijos
• Pagalbos numeriai

Šaltiniai ir oficialios rekomendacijos¶

• Discord pasitikėjimo ir saugos bei saugos centras (discord.com/safety): Serverio apsauga nuo reidų (Safety Setup, AutoMod, Raid Protection, ir Security Actions: pristabdyti kvietimus / pristabdyti DM) ir Moderatorių leidimų hierarchiją ir dviejų veiksnių autentifikavimą.
• Discord kūrėjo dokumentacija (discord.com/developers/docs): OAuth2 roboto autorizacijos apimtys, bitų leidimo žymos (Administrator = 0x8), „Webhook“ sauga ir prieigos rakto panaikinimas.
• Reddit pagalba ir moderatoriaus palaikymas (support.reddithelp.com / r/ModSupport): Subreddit minios valdymas, draudimų išvengimo filtrai, automatinio moderatoriaus avarinės konfigūracijos ir pažeistos moderatoriaus grąžinimo procedūros.
• Kibernetinio saugumo ir infrastruktūros saugumo agentūra (CISA) ir Nacionalinis kibernetinio saugumo centras (NCSC): Mažinantis informacijos vagysčių kenkėjišką programinę įrangą, elektroninių programų įpurškimą (asar klastojimas) ir OAuth / seanso prieigos rakto užgrobimas.
• Nacionalinis dingusių ir išnaudojamų vaikų centras (NCMEC) & Internet Watch Foundation (IWF): Privalomi pranešimo apie neteisėtą turinį ir kenkėjiškų serverių kadravimo incidentų protokolai.