SSO 模块 5 - 保障你的 Discord 社区安全：全面的 Discord 安全协议

那么，作为社区管理者，你应该使用哪些工具、采取哪些建议和行为来保障你的社区在 Discord 中的安全呢？虽然其中许多设置需要相应权限，但即使你不是 Discord 的管理者，也值得向管理者提出这些建议，以确保你拥有保障社区安全所需的工具！让我们开始吧！

1) 🛡️ 保护你的服务器免受突袭 🛡️

突袭通常只有在服务器规模变大后才会成为问题，但 Discord 内置的基础突袭防护工具值得每个人启用！为确保你的 Discord 服务器安全，实施 Discord 安全设置 措施非常重要。你应该：

1. 启用突袭防护 ，以抵御大量恶意账号同时加入（服务器突袭）
2. 为管理员账号强制启用双重身份验证（2FA） ，以降低管理员账号被盗的可能性
3. 为新加入者设置验证等级 ，以减少垃圾信息和服务器突袭

请参阅 Discord 支持文章 了解如何设置这三项功能。如果你想获得额外的突袭防护，Beemo 也是一个 配置简单的优秀方案 。

2) 🤖保护你的服务器免受恶意机器人侵扰 🤖

通常，最低级的骗子是自动化机器人，它们试图潜入你的服务器，通过低成本的私信、帖子、主题等欺骗你的用户。它们会将对话转交给人工操控者，通过社会工程学开始诈骗目标。作为第二道防线，设置以下防护措施是明智之举，这样它们就不会来打扰你，而是去找其他服务器了！

1. **名称过滤 - **使用 Hashbot 和 Wick 等机器人，阻止名为 Server Support、Team Admin 和 Support Bot 的账号加入你的服务器。
2. **验证码机器人 - **验证码机器人 ，例如 Pandez Guard, Captcha Bot和 Wick ，会设置“人类验证”测试。最好的测试是内联进行的，不需要用户前往其他网站、扫描二维码或被机器人私信。
3. **监控加入频道 - **设置一个仅管理员可见的频道，显示谁加入了你的服务器。让管理员定期查看该频道，观察规律，并在出现异常时手动干预。

3) 🚔保护你的服务器免受骗子侵扰🚔

验证和过滤能有效阻止大多数骗子，但有些仍不可避免地进入服务器。此后，就需要管理员和版主来限制他们造成的损害，最多只是占用服务器日志空间！你可以使用以下工具来帮助抵御他们：

1. 自动化审核 - 自动审核是指设置机器人对违反服务器规则的行为自动施加惩罚。你可以使用 Discord 原生自动审核或可自定义的审核机器人（如 Carl、Wick、Dyno 或 YAGPDB）来设置垃圾信息过滤、链接屏蔽等功能。
2. **紧急锁定 - **在紧急情况或面临即时安全威胁时，使用 锁定模式 关闭所有服务器活动，该功能来自 Carl、 Goodknight, 或 Wick
3. 限制使用覆盖权限和非标准权限 - 你可能会发现自己创建了越来越多的频道，并希望限制它们，允许某些活动和角色在服务器中执行特定操作。应避免这种复杂化。它会使你的设置变得复杂，并可能导致意外允许私密主题或其他漏洞，使骗子能够在未被发现的情况下活动！

4) 👤 保护你的服务器免受自己人的威胁🤨

服务器被入侵的首要方式是针对权限过高的管理员进行社会工程学攻击。以下是一些你可以考虑的措施，既能允许社区管理者和管理员履行职责，又能保护你的服务器和社区：

1. **最小权限 - **确保你的管理员拥有有限的权限。在 Web3 世界中，骗子愿意放长线钓大鱼，入侵高价值服务器中权限过高的管理员正是他们的梦想！限制这些权限至关重要：管理员、提及 @everyone、here、所有角色、管理 Webhook、管理服务器、管理角色、管理频道和封禁。
2. 临时访问权限 - 像 Good Knight 这样的机器人允许管理员使用第二个密码临时提升权限，以执行封禁用户或发布公告等职能。用临时访问权限来管控公告和封禁等操作！这意味着如果你的管理员/社区管理者账号被黑，攻击者也无法利用该账号执行向 `@everyone` 标签发布公告等大规模操作。
3. 冷管理员 - 将服务器所有者角色分配给一个 “冷”账号，与管理员日常使用的账号分开，是明智的做法。仅在紧急情况或更改设置时使用此账号。请遵循 Discord 的 指导文章 来转移服务器所有权。

5) 📖通过教育你的服务器来保护你的服务器！📖

教育你的管理员和社区成员对于保障服务器安全至关重要。即使用户只是在个人层面遭遇诈骗，更不用说服务器层面，也仍会给社区带来负面情绪和糟糕体验。通过展示你对安全的承诺，你向社区表明你在乎他们，并降低这些负面事件无论大小规模发生的风险。我们推荐以下方法：

1. 教育你的管理员 - 诸如 Server Forge 这样的资源提供了大量面向社区经理、管理员和版主的假设性与实践性动手游戏、测验和材料！
2. **教育你的社区 - **Boring Security 刚刚推出了社交媒体安全课程，我们很高兴与社区合作并免费提供这些课程！教育你的社区识别常见骗局，例如 书签小程序诈骗 或 二维码诈骗，以及在加入流程中鼓励用户私信，在我们看来只是最低要求！
3. 持续推进 - 安全并非一劳永逸的工作。提供激励、机会，并分享资料和警报，让安全意识始终扎根于你的社区。在 web3 中，社区不能忽视安全，也不能想当然地认为安全问题已经解决。这需要你的社区持续关注和投入，让每个人都牢记安全！

其他资源

如需了解有关 Discord 服务器安全的更多信息和资源，可浏览以下内容：

• 如何安全设置 Discord 服务器 - Boring Security
• 安全术语表：一份 全面的安全术语列表 ，供你熟悉了解
• Bankless Academy 安全课程：一节 异步安全课程 ，由以下提供： Bankless Academy ，以加深你对 web3 安全的理解
• Boring Security 课程：免费直播课程和免费资源 由 Boring Security 提供 ，以加深你对 Discord 服务器安全的了解
• 警惕诈骗 OAuth 仿冒页面
• 诈骗类型思维导图 及其运作方式
• Discord 安全主题串

摘要

恭喜！你已完成模块 7 - 保障你的 Discord 社区安全：全面的 Discord 安全协议

让我们回顾一下你的学习内容：

1. 防范突袭

• 使用 Discord 内置的安全工具。
• 启用突袭防护，为管理员强制启用双重身份验证（2FA），并设置验证等级。
• Beemo 是先进的突袭安全解决方案。

2. 防御机器人

• 机器人可通过自动消息进行诈骗。
• 使用 Hashbot 和 Wick 实施名称过滤，以拦截可疑名称。
• 使用 Pandez Guard 和 Captcha Bot 等验证码机器人进行真人验证。
• 设置仅管理员可见的加入频道，以监控新加入者。

3. 防范诈骗者

• 尽管采取了预防措施，部分诈骗者仍可能混入。
• 使用 Carl、Wick、Dyno 或 YAGPDB 等工具部署自动审核。
• 紧急情况下，使用 Carl 或 Goodknight 的锁定模式。
• 避免可能被利用的复杂频道设置。

4. 防范内部威胁

• 大多数服务器入侵源于被操控的管理员。
• 采用最小权限原则；限制管理员权限。
• Good Knight 提供临时访问功能；用它实现受控权限。
• 指定一个单独的、很少使用的账户作为服务器所有者。

5. 开展安全教育

• 知识是安全的关键。
• 使用 Server Forge 等资源培训管理员。
• 与 Boring Security 等倡议合作，向社区普及常见骗局。
• 安全是一项持续的工作；请定期更新并教育你的社区。

本文由以下方提供：