Můj Discord server byl vymazán: kontrolní seznam obnovy

Pokud byl váš Discord server právě vymazán, nejdřív zastavte krvácení (zamkněte server nebo odeberte role napadenému účtu), pak z auditního logu zjistěte, kdo to udělal, potom obnovujte: kanály a role ze šablony, pokud nějakou máte, odblokujte členy v seznamu zákazů a smazané zprávy berte jako ztracené, protože Discord nemá možnost obnovení. Tohle je praktické pořadí kroků, ne teorie o tom, jak anti-nuke boti útok odhalují; tu popisuje náš návod k anti-nuke. Tento článek říká, co skutečně dělat v první hodině, v prvním dni a potom.

Nejdřív: ověřte, že to opravdu skončilo

Než se dotknete čehokoli dalšího, ujistěte se, že útočník už nemůže jednat. Pokud běží anti-nuke bot, zkontrolujte jeho logovací kanál; měl by ukazovat, že účet byl automaticky umlčen, vyhozen nebo zabanován. Pokud žádná anti-nuke ochrana není, nebo útok přišel z účtu, který bot záměrně vynechává (účet majitele serveru anti-nuke nemůže potrestat a účty na důvěryhodném seznamu se přeskakují úmyslně), udělejte to ručně: odeberte účtu role nebo ho vyhoďte. Pokud šlo o napadený účet člena staffu, řekněte mu, ať okamžitě změní heslo k Discordu a zkontroluje své autorizované aplikace; vymazání serveru bývá velmi často závěrečná fáze phishingového útoku na token, a ne náhodný útok.

Zjistěte, co se stalo: auditní log

Nastavení serveru → Auditní log zaznamenává každé smazání kanálu, smazání role, vykázání a vyhození spolu s účtem, který to udělal, a časovým razítkem. Je to nezpochybnitelný zdroj pravdy o tom „kdo“ a „jak moc“; čtěte ho dřív, než cokoli předpokládáte, protože vymazání způsobené napadeným administrátorským účtem vypadá v daný okamžik stejně jako vymazání botem s příliš mnoha oprávněními. Pokud používáte bezpečnostního bota, jeho vlastní logovací kanál obvykle obsahuje přehlednější shrnutí toho, co přesně spustilo jeho reakci a kdy; je rychlejší ho přečíst než procházet nativní auditní log Discordu záznam po záznamu.

Obnova: co se dá a nedá vrátit

• Kanály a kategorie: jsou pryč, pokud nemáte šablonu serveru. Nastavení serveru → Šablona serveru vám umožní kdykoli vytvořit snímek struktury kanálů a rolí; pokud jste ji vytvořili před útokem, její použití obnoví kostru do minuty. Pokud jste ji nikdy nevytvořili, kanály znovu zakládáte ručně podle paměti nebo snímků obrazovky.
• Role a oprávnění: stejné jako u kanálů, šablona obnoví strukturu, ne to, kdo měl jakou roli. Ruční přidělení rolí potom je pomalá část.
• Zprávy: nenávratné. Discord nemá na straně serveru možnost obnovit obsah zpráv. Pokud na něčem z toho záleželo kvůli záznamům, a ne kvůli rozhovoru (historie podpory, prodeje, recenze), zkontrolujte, zda to nebylo uloženo jinde než v surových zprávách v chatu; Noxyr uchovává faktury a přepisy tiketů ve vlastní databázi, přesně proto, aby je vymazání kanálů nesmazalo spolu s nimi.
• Zákazy: pokud útočník hromadně vykázal členy, v Nastavení serveru → Zákazy je můžete odblokovat najednou. Je to zdlouhavé, ale plně obnovitelné; zákaz sám o sobě data nemaže, jen blokuje opětovné připojení.
• Samotný server: vymazání, ať je sebehorší, neodstraní server ani vlastníka. Je to vždy úkol obnovy, nikdy úkol stavět od nuly.

Řekněte členům, než se to dozvědí z prázdného serveru

Server, který má najednou tři kanály a žádné role, působí opuštěně nebo napadeně každému, kdo nesledoval, jak k tomu došlo. Napište něco do kanálu, který ještě existuje (nebo do prvního, který obnovíte), a v jedné nebo dvou větách vysvětlete, co se stalo a že se obnovuje. Ticho vypadá hůř než upřímné „server byl vymazán, opravujeme to“.

Až je stabilně: zavřete skutečnou mezeru

Vymazání se stalo proto, že některý účet měl víc oprávnění, než potřeboval, a buď byl napaden, nebo se zvrhl. Oprava nejbližšího nepořádku bez opravy této příčiny vás nechá jeden incident od dalšího opakování:

1. Projděte každou roli s oprávněním Administrátor, Spravovat kanály, Spravovat role nebo Vykázat členy. Odeberte ji každému, kdo ji striktně nepotřebuje; viz náš návod k nastavení rolí s nejmenšími oprávněními.
2. Zkontrolujte stejná oprávnění u každého bota na serveru. Bot s větším přístupem, než jeho funkce potřebuje, je druhý útočný povrch se stejným dopadem jako napadený administrátor.
3. Zapněte anti-nuke a anti-spam, pokud byly vypnuté, a nastavte logovací kanál, aby další incident (doufejme, že žádný) od první sekundy zanechal jasnou stopu.
4. Vytvořte šablonu serveru hned teď, dokud je klid, aby příští obnova trvala minutu místo dne.
5. Vyžadujte 2FA u každého, kdo má zvýšené role, v Nastavení serveru → Nastavení bezpečnosti.

Časté otázky

Může podpora Discordu vymazaný server obnovit? Discord u incidentů na úrovni serveru neobnovuje smazané kanály, role ani zprávy; obnova je na vlastníkovi serveru. Kontaktujte podporu Discordu, jen pokud byl napaden účet samotného vlastníka a je z něj úplně vyloučen; to je problém zabezpečení účtu, oddělený od škod na serveru.

Jak poznám, jestli šlo o napadený účet člena staffu, nebo o škodlivého bota? Auditní log u každé akce uvádí účet, který ji provedl. Pokud je to účet bota, zkontrolujte, jaká oprávnění bot skutečně potřeboval oproti tomu, co měl; pokud je to lidský účet, je potřeba zkontrolovat heslo té osoby a připojené aplikace bez ohledu na to, zda to myslela vážně.

Mám zabanovat účet, který to udělal? Pokud je zjevně škodlivý a nejde o napadeného kamaráda nebo člena staffu, se kterým můžete mluvit, tak ano. Pokud šlo o napadený účet někoho, koho znáte, obvykle stačí vyhodit nebo umlčet účet, dokud si dotyčný nezabezpečí účet; zabanování kamarádova převzatého účtu může ztížit jeho návrat, až bude vše opraveno.

Zabrání anti-nuke tomu, aby se to příště opakovalo? Omezí to škody: správně nastavený bot s anti-nuke promění „celý server pryč“ v „pár kanálů a jeden umlčený účet“. Nemůže vrátit akce, které proběhnou dřív, než se překročí limit. Limity a nastavení najdete v návodu k anti-nuke.

Existuje způsob, jak získat smazané zprávy zpět? Ne, ne přes Discord. Pokud má obsah zpráv přežít incident, musí být zachycen mimo surový chat: připnutý dokument s pravidly, exportované záznamy nebo bot, který si ukládá vlastní kopii toho, na čem záleží, třeba přepisy a faktury.

Příští incident předejdete pomocí bezpečnostního bota, který průběžně hlídá auditní log, a přečtěte si příručku ochrany před raidy pro polovinu obrany serveru, která se týká připojování.