Введение: безопасность — это система

Безопасность сервера Minecraft — это не один плагин или настройка. Это комплекс мер, охватывающий конфигурацию, плагины, сеть, персонал и резервное копирование. Я собрал чеклист из 50 пунктов, который должен проверить каждый администратор. Пройдитесь по списку — и вы закроете 95% уязвимостей.

1. Конфигурация сервера (10 пунктов)

1. online-mode: true для лицензионных серверов. False — только с AuthMe.
2. enable-command-block: false (если не используете командные блоки).
3. enable-rcon: false (если не нужен удалённый доступ). Если true — сложный пароль.
4. spawn-protection: 0 (если используете WorldGuard).
5. prevent-proxy-connections: true (блокирует VPN/прокси).
6. enforce-secure-profile: true (защита от подделки чата).
7. white-list: true для приватных серверов.
8. max-players: реалистичное значение (не завышайте).
9. view-distance: 6-8 (снижает нагрузку и утечки памяти).
10. sync-chunk-writes: true (защита от повреждения мира при краше).

2. Плагины защиты (10 пунктов)

11. Анти-чит: GrimAC (бесплатно) или Vulcan (платно).
12. Логирование: CoreProtect или Prism.
13. Защита территории: WorldGuard (админ-зоны) + GriefPrevention (игроки).
14. Аутентификация: AuthMe (для пираток).
15. Анти-бот: AntiBot или встроенная защита в TCPShield.
16. Защита от эксплойтов: ExploitFixer.
17. Защита от X-Ray: встроенный анти-X-Ray в Paper (engine-mode: 2).
18. Защита от флуда: ChatControl или AntiSpam.
19. Командный фильтр: CommandBlocker (блокирует опасные команды).
20. Анти-бэкдор: AntiMalware (сканирует плагины на вредоносный код).

3. Сетевая безопасность (10 пунктов)

21. TCPShield: DDoS-защита (бесплатный план).
22. Брандмауэр: открыть ТОЛЬКО порты 25565 (TCP) и 19132 (UDP, если Geyser).
23. Закрыть порты бекендов: доступ только с IP прокси (BungeeCord/Velocity).
24. BungeeGuard/Velocity secret: защита от прямого подключения к бекендам.
25. Сложный пароль RCON: 20+ символов.
26. Ограничение подключений с одного IP: iptables или ConnectionLimiter.
27. Fail2Ban: автоматический бан IP после нескольких неудачных попыток (SSH, RCON).
28. SSH на нестандартном порту: не 22.
29. Отключить root-вход по SSH: только ключ, не пароль.
30. Регулярное обновление ОС и Java.

4. Права и персонал (10 пунктов)

31. Никому не давать право * (звезда).
32. /op только с консоли, не игрокам.
33. Проверять новых модераторов (испытательный срок 2 недели).
34. Логировать действия модераторов (CommandLog).
35. Двухфакторная аутентификация для админов (AuthMe 2FA).
36. Регулярная смена паролей.
37. Не давать доступ к файлам сервера посторонним.
38. Не устанавливать плагины по просьбе незнакомцев.
39. Проверять плагины перед установкой (VirusTotal, AntiMalware).
40. Обучать персонал правилам безопасности.

5. Резервное копирование (10 пунктов)

41. Автоматический бэкап мира каждый час (DriveBackupV2).
42. Бэкап плагинов и конфигов раз в сутки.
43. Бэкап базы данных (MySQL dump) раз в сутки.
44. Хранить бэкапы в облаке (Google Drive, Dropbox).
45. Хранить бэкапы на отдельном физическом носителе.
46. Правило 3-2-1: три копии, два носителя, один вне помещения.
47. Проверять бэкапы на целостность раз в месяц.
48. Хранить бэкапы минимум 30 дней.
49. Автоматическая очистка старых бэкапов для экономии места.
50. Документировать процедуру восстановления из бэкапа.

💡 Совет профи

Распечатайте этот чеклист и повесьте над рабочим местом. Проходите по нему раз в месяц. Безопасность — это не разовая акция, а непрерывный процесс. Сервер, который был защищён вчера, может быть уязвим сегодня из-за новой уязвимости в плагине.