管理パネルの保護とアンチボット

サーバーが乗っ取られる原因は「ホスティングへのハッキング」よりも、運営者を経由したものがほとんどです。ヘルパーのアカウントを盗まれ、そのアカウントに /op、//set、/give が付いている、というケースです。以下は、これを封じるための最低限の対策です。

1. op を渡さない

op はプラグインの制限をすべて無視します。権限は LuckPerms のグループを通じて付与してください — 権限、グループ、プレフィックス。オペレーターはあなた自身と、必要なら2人目のオーナーだけです。

オペレーターができることの範囲も設定できます。詳細設定の「オペレーター権限レベル」— 設定。4 はすべて、1 はスポーン保護のバイパスのみです。

2. 危険なコマンドをロックする

権限があっても、あなた以外の全員に拒否すべきコマンドがあります。最も簡単なのは CommandWhitelist や NoCheatCommands のようなプラグインですが、LuckPerms でも最低限の対策ができます。

/lp group moderator permission set minecraft.command.op false
/lp group moderator permission set worldedit.* false

オーナー以外に対する妥当なブラックリストは、op、deop、stop、whitelist off、//set、//replace、//regen、/give、/gamemode creative、プラグインの reload コマンド、そして「別のプレイヤーとしてコマンドを実行する」ものです。

別途ですが、私たちはシェルアクセスを提供するプラグイン — チャットから直接オペレーティングシステムのコマンドを実行するもの — はインストールしません。これはセキュリティホールであると同時に、サーバーをハングさせる手段でもあります。詳細は MODとプラグインのインストール方法 をご覧ください。

3. 管理者ログインにパスワードを

ニックネームログインのサーバーでは、ニックネームは何も検証されません。誰でもあなたを名乗ることができます。認証プラグインは必須であり、管理者のニックネームには追加の検証を有効にすることをおすすめします。AuthMe は IP バインドと、管理コマンド用の2つ目のパスワードに対応しています。ニックネームログイン をご覧ください。

4. ボット

公開サーバーはいずれボットの波に遭います。毎秒数十件のログイン、埋まるスロット、床に落ちる TPS です。効果があるものは次のとおりです。

• アンチボットプラグイン（AntiBot、EpicGuard、BotSentry）— ログイン時の検証と IP ごとの接続制限
• Velocity プロキシ経由でのネットワークへのログイン — フィルターがバックエンドの手前に位置します。サーバーネットワーク をご覧ください
• 詳細設定の「パケットアンチフラッド」— 頻繁に送信されすぎるパケットに対するキック
• 攻撃をやり過ごすための一時的なホワイトリスト

チャネル単位の DDoS 対策は私たちのネットワーク側で行われています。お客様側での対応は不要です。

5. 何が起きたかを見る

• サーバーログ（「自動化とログ」セクション）— チームの誰がコントロールパネルで何をしたか。90日間保存されます。
• CoreProtect — コマンドやチャットを含め、プレイヤーがワールドで何をしたか。グリーフのロールバック をご覧ください。
• コントロールパネルのアクセス権限 — フレンドにアクセスを付与する方法。招待された人は「すべてへのフルアクセス」ではなく、個別の権限を付与されます。

6. バックアップ

上記のすべてはいずれ破綻します。バックアップ は1日1回自動で作成されます。必要になる前に、どこから復元するのかを必ず確認しておいてください。