Nếu máy chủ Discord của bạn vừa bị phá hoại, hãy cầm máu trước (khóa lại hoặc gỡ vai trò của tài khoản bị xâm phạm), rồi tìm xem ai đã làm từ nhật ký kiểm tra, sau đó dựng lại kênh và vai trò từ một mẫu nếu bạn có, xóa các lệnh cấm khỏi danh sách cấm, và chấp nhận rằng tin nhắn đã mất vì Discord không có chức năng khôi phục. Đây là thứ tự thao tác thực tế, không phải lý thuyết về cách bot chống phá hoại phát hiện một cuộc tấn công; phần đó được trình bày trong hướng dẫn chống phá hoại của chúng tôi. Bài này là việc cần làm thực sự trong giờ đầu tiên, ngày đầu tiên và sau đó.
Đầu tiên: xác nhận cuộc tấn công đã thực sự dừng lại
Trước khi chạm vào bất cứ thứ gì khác, hãy chắc rằng kẻ tấn công không còn có thể hành động. Nếu một bot chống phá hoại đang chạy, hãy kiểm tra kênh nhật ký của nó; nó sẽ cho thấy tài khoản đã bị cấm chat tạm thời, mời ra hoặc cấm tự động. Nếu không có bảo vệ chống phá hoại, hoặc cuộc tấn công đến từ một tài khoản mà bot miễn trừ (tài khoản chủ máy chủ không thể bị chống phá hoại xử lý, và mọi tài khoản trong danh sách tin cậy đều được bỏ qua có chủ đích), hãy làm thủ công: gỡ hết vai trò của tài khoản đó hoặc mời ra, và nếu đó là tài khoản nhân viên bị xâm phạm, hãy bảo người đó đổi mật khẩu Discord ngay và kiểm tra các ứng dụng được ủy quyền, vì một vụ phá hoại rất thường là phần cuối của một token bị lừa lấy, chứ không phải tấn công ngẫu nhiên.
Tìm hiểu chuyện gì đã xảy ra: nhật ký kiểm tra
Cài đặt máy chủ → Nhật ký kiểm tra ghi lại mọi lần xóa kênh, xóa vai trò, cấm và mời ra cùng tài khoản đã làm và dấu thời gian. Đây là nguồn thông tin chính xác về "ai" và "bao nhiêu", hãy đọc nó trước khi giả định bất cứ điều gì, vì một vụ phá hoại do tài khoản quản trị viên bị xâm phạm trông giống hệt một vụ phá hoại do bot có quá nhiều quyền vào thời điểm đó. Nếu bạn chạy một bot bảo mật, kênh nhật ký của nó thường có bản tóm tắt gọn hơn về đúng điều gì đã kích hoạt phản ứng và khi nào, đọc nhanh hơn nhiều so với lật từng mục trong nhật ký kiểm tra gốc của Discord.
Dựng lại: những gì có thể và không thể lấy lại
- Kênh và danh mục: đã mất trừ khi bạn có mẫu máy chủ. Cài đặt máy chủ → Mẫu máy chủ cho phép bạn tạo một bản chụp cấu trúc kênh và vai trò bất cứ lúc nào; nếu bạn đã tạo trước cuộc tấn công, áp dụng nó sẽ dựng lại khung trong chưa đầy một phút. Nếu bạn chưa bao giờ tạo, bạn sẽ phải tạo lại kênh bằng tay từ trí nhớ hoặc ảnh chụp màn hình.
- Vai trò và quyền: giống như kênh, một mẫu sẽ khôi phục cấu trúc chứ không phải ai được gán cho từng vai trò. Gán lại vai trò bằng tay sau đó là phần chậm nhất.
- Tin nhắn: không thể khôi phục. Discord không có chức năng hoàn tác xóa nội dung tin nhắn phía máy chủ. Nếu có phần nào trong đó quan trọng với hồ sơ thay vì cuộc trò chuyện, như lịch sử hỗ trợ, doanh số, đánh giá, hãy kiểm tra xem nó có được lưu ở nơi khác ngoài các tin nhắn chat thô không; Noxyr giữ hóa đơn và bản ghi ticket trong cơ sở dữ liệu riêng của mình chính là để một vụ phá hoại không kéo chúng xuống cùng các kênh.
- Lệnh cấm: nếu kẻ tấn công đã cấm hàng loạt thành viên, Cài đặt máy chủ → Cấm cho phép bạn bỏ cấm hàng loạt. Mệt mỏi nhưng hoàn toàn khôi phục được; việc cấm không phá hủy dữ liệu, nó chỉ chặn việc tham gia lại.
- Bản thân máy chủ: một vụ phá hoại dù tệ đến đâu cũng không xóa máy chủ hay loại bỏ chủ sở hữu. Đây luôn là công việc khôi phục, không bao giờ là công việc dựng lại từ con số không.
Báo cho thành viên trước khi họ tự thấy một máy chủ trống
Một máy chủ đột nhiên chỉ còn ba kênh và không có vai trò trông có vẻ bị bỏ hoang hoặc bị xâm phạm đối với bất kỳ ai không theo dõi quá trình đó xảy ra. Hãy đăng gì đó trong bất kỳ kênh nào còn tồn tại (hoặc kênh đầu tiên bạn dựng lại) giải thích điều đã xảy ra trong một hoặc hai câu và rằng nó đang được khôi phục; im lặng gây ấn tượng xấu hơn một lời thừa nhận thẳng thắn kiểu "chúng tôi bị phá hoại, đang sửa ngay."
Sau khi ổn định: bịt lỗ hổng thực sự
Vụ phá hoại xảy ra vì một tài khoản nào đó có nhiều quyền hơn mức cần thiết và rồi hoặc bị xâm phạm hoặc trở nên độc hại. Sửa mớ hỗn độn trước mắt mà không sửa điều đó sẽ khiến bạn chỉ cách một sự cố nữa là bị tái diễn:
- Kiểm tra mọi vai trò có quyền Quản trị viên, Quản lý kênh, Quản lý vai trò hoặc Cấm thành viên. Gỡ quyền đó khỏi bất kỳ ai không thực sự cần, xem hướng dẫn thiết lập vai trò với quyền tối thiểu của chúng tôi.
- Kiểm tra mọi bot trong máy chủ có cùng các quyền đó. Một bot có quyền truy cập nhiều hơn tính năng của nó cần chính là một bề mặt tấn công thứ hai với phạm vi thiệt hại giống như một quản trị viên bị xâm phạm.
- Bật chống phá hoại và chống spam nếu chúng đang tắt, và đặt kênh nhật ký để sự cố tiếp theo, hy vọng là không bao giờ xảy ra, để lại dấu vết rõ ràng ngay từ giây đầu tiên.
- Tạo mẫu máy chủ ngay bây giờ, khi mọi thứ còn yên ổn, để lần dựng lại tiếp theo chỉ mất một phút thay vì cả ngày.
- Yêu cầu bật 2FA cho bất kỳ ai có vai trò đặc quyền, trong Cài đặt máy chủ → Thiết lập an toàn.
Câu hỏi thường gặp
Hỗ trợ Discord có thể khôi phục một máy chủ bị phá hoại không? Discord không khôi phục kênh, vai trò hay tin nhắn đã xóa trong các sự cố ở cấp máy chủ; việc khôi phục thuộc về chủ máy chủ. Chỉ liên hệ hỗ trợ Discord nếu chính tài khoản của chủ sở hữu bị xâm phạm và bị khóa hoàn toàn; đó là vấn đề bảo mật tài khoản, tách biệt với thiệt hại của máy chủ.
Làm sao tôi biết đó là tài khoản nhân viên bị xâm phạm hay một bot độc hại? Nhật ký kiểm tra ghi tên tài khoản thực thi cho mọi hành động. Nếu là tài khoản bot, hãy kiểm tra bot đó thực sự cần quyền gì so với quyền nó đang có; nếu là tài khoản người thật, mật khẩu và các ứng dụng đã kết nối của người đó cần được kiểm tra bất kể họ có cố ý làm hay không.
Tôi có nên cấm tài khoản đã làm việc đó không? Nếu rõ ràng là độc hại và không phải một người bạn hay nhân viên bị xâm phạm mà bạn có thể trao đổi, thì có. Nếu đó là tài khoản bị xâm phạm của một người bạn, thường chỉ cần mời ra hoặc cấm chat tạm thời trong khi họ bảo mật tài khoản là đủ; cấm tài khoản bị chiếm đoạt của bạn bè có thể gây khó khăn cho việc đưa họ trở lại sau khi đã sửa xong.
Chống phá hoại có ngăn được lần sau không? Nó giới hạn thiệt hại; một bot được cấu hình đúng với chống phá hoại biến "cả máy chủ biến mất" thành "vài kênh, một tài khoản bị cấm chat tạm thời." Nó không thể hoàn tác các hành động đã xảy ra trước khi vượt ngưỡng. Xem hướng dẫn chống phá hoại để biết các giới hạn và thiết lập.
Có cách nào lấy lại tin nhắn đã xóa không? Không, không thể qua Discord. Nếu nội dung tin nhắn cần được giữ lại sau một sự cố, nó cần được lưu ở nơi khác ngoài chat thô, như một tài liệu nội quy được ghim, các bản ghi đã xuất, hoặc một bot tự lưu bản sao của những gì quan trọng, như bản ghi hội thoại và hóa đơn.
Ngăn lần sau bằng một bot bảo mật theo dõi nhật ký kiểm tra liên tục, và đọc sổ tay bảo vệ chống raid để biết nửa phòng thủ máy chủ ở phía tham gia.