관리자 패널 보호 및 안티봇

서버는 "호스팅을 해킹당하는" 경우보다 운영자를 통해 탈취되는 경우가 더 많아요. 누군가 헬퍼의 계정을 훔치는데, 그 계정에 /op, //set, /give가 있기 때문이죠. 아래는 이런 상황을 막는 최소한의 조치예요.

1. op를 함부로 주지 마세요

op는 어떤 플러그인 제한도 무시해요. 권한은 LuckPerms의 그룹을 통해 부여하세요 — 권한, 그룹, 접두사. 운영자는 본인과, 필요하다면 두 번째 소유자 정도만 두세요.

운영자가 할 수 있는 범위도 설정할 수 있어요. 고급 설정의 "운영자 권한 레벨" 항목이에요. 4는 전부, 1은 스폰 보호 우회만 허용해요.

2. 위험한 명령어를 차단하세요

권한이 있어도 일부 명령어는 본인 외에는 모두 거부해야 해요. 가장 쉬운 방법은 CommandWhitelist나 NoCheatCommands 같은 플러그인이지만, LuckPerms만으로도 기본적인 차단이 가능해요:

/lp group moderator permission set minecraft.command.op false
/lp group moderator permission set worldedit.* false

소유자를 제외한 모두에게 적용할 만한 블랙리스트는 op, deop, stop, whitelist off, //set, //replace, //regen, /give, /gamemode creative, 플러그인 reload 명령어, 그리고 "다른 플레이어로서 명령어 실행"이에요.

별도로, 채팅에서 운영체제 명령어를 직접 실행할 수 있게 해주는 셸 접근 플러그인은 설치하지 않아요. 보안 구멍일 뿐만 아니라 서버를 멈추게 할 수도 있어요. 자세한 내용은 모드와 플러그인 설치 방법을 참고하세요.

3. 비밀번호로 관리자 로그인

닉네임 로그인을 사용하는 서버에서는 닉네임이 아무것도 검증하지 않아요. 누구든 본인인 척할 수 있죠. 인증 플러그인은 필수이고, 관리자 닉네임에는 추가 검증을 켜두는 게 좋아요 — AuthMe는 IP 바인딩과 관리자 명령어용 두 번째 비밀번호를 지원해요. 닉네임 로그인을 참고하세요.

4. 봇

공개 서버는 언젠가 봇 공격을 받아요. 초당 수십 건의 로그인, 가득 찬 슬롯, 바닥을 치는 TPS죠. 도움이 되는 것들:

• 안티봇 플러그인(AntiBot, EpicGuard, BotSentry) — 로그인 시 검증과 IP당 연결 제한;
• Velocity 프록시를 통한 네트워크 로그인 — 필터가 백엔드 앞에 위치해요. 서버 네트워크를 참고하세요;
• 고급 설정의 "패킷 안티플러드" — 너무 자주 전송되는 패킷에 대해 킥;
• 공격을 버텨낼 임시 화이트리스트.

채널 DDoS 보호는 저희 네트워크 측에서 처리하므로 따로 하실 일은 없어요.

5. 무슨 일이 있었는지 확인하세요

• 서버 로그("자동화 및 로그" 섹션) — 팀원이 제어판에서 무엇을 했는지 확인할 수 있어요. 90일간 보관돼요.
• CoreProtect — 명령어와 채팅을 포함해 플레이어가 월드에서 무엇을 했는지 확인할 수 있어요: 그리핑 롤백.
• 제어판 접근 권한 — 친구에게 접근 권한 주는 방법: 초대받은 사람은 "모든 것에 대한 전체 접근"이 아니라 별도의 권한을 받아요.

6. 백업

위의 모든 조치는 언젠가 실패해요. 백업은 하루에 한 번 자동으로 만들어져요 — 필요해지기 전에 어디서 복원하는지 미리 알아두세요.