Как подбирают пароли
Бот заходит под чужим ником и вводит /login с паролями из списка: самые популярные пароли, варианты ника, пароли из утёкших баз других серверов. Многие игроки ставят один пароль везде, поэтому пароль, утёкший с одного сервера, часто подходит и на другом.
Плагин авторизации банит адрес после нескольких ошибок. Чтобы обойти это, атакующий отправляет каждую попытку с нового адреса из списка прокси.
Настройте плагин авторизации
Большую часть работы делает сам плагин авторизации. В AuthMe, nLogin и похожих плагинах ищите в настройках такие вещи:
- ограничение числа неудачных попыток и кик после неверного пароля;
- временный бан адреса после нескольких ошибок подряд;
- ограничение времени на вход: кто не ввёл пароль за минуту, вылетает;
- минимальную длину пароля и запрет самых простых паролей;
- автовход для владельцев лицензии, тогда им пароль вообще не нужен;
- двухфакторный вход через приложение-аутентификатор, если плагин его поддерживает.
Защитите персонал
Аккаунт администратора стоит дороже всего, поэтому подбирают в первую очередь его. Пароль персонала должен быть длинным и нигде больше не использоваться. Если плагин поддерживает двухфакторный вход, включите его хотя бы для персонала.
Полезно время от времени смотреть, откуда заходят аккаунты персонала. Вход из новой страны или с незнакомого провайдера стоит проверить.
Закройте прокси
Лимит попыток с одного адреса работает, только пока у атакующего мало адресов. Kordon проверяет подключение на прокси, ещё до плагина авторизации. VPN, открытые прокси и хостинги не проходят, а на «Строгой» защите (с тарифа Premium) и резидентные прокси. У атакующего остаётся меньше адресов, и перебор идёт намного медленнее.
Kordon не видит, какой пароль вводит игрок, и не считает неудачные попытки входа. Это работа плагина авторизации, Kordon только оставляет атакующему меньше адресов.
Признаки перебора
В логах плагина авторизации много неверных паролей для одного ника. В журнале входов Kordon (с тарифа Basic) много коротких входов под этим ником с разных адресов и из разных стран.
Если аккаунт уже взломали
- Смените пароль аккаунта командой администратора в плагине авторизации и выгоните аккаунт с сервера.
- Проверьте логи действий (например, CoreProtect): что успели сделать от имени игрока.
- Занесите адреса, с которых заходил взломщик, в чёрный список со сроком (с тарифа Pro).
- Попросите игрока поменять этот пароль везде, где он его использовал.