Введение: три кита безопасности

Безопасность сервера Minecraft держится на трёх столпах: грамотная настройка прав доступа, регулярное обновление плагинов и использование специализированных защитных решений. В этой статье я собрал полный чеклист по защите сервера от вредоносных команд — от базовых настроек до продвинутых техник мониторинга.

Уровень 1: Настройка прав доступа (Permissions)

1. Используйте LuckPerms — современный плагин прав с веб-редактором и аудитом изменений.
2. Создайте группы: default (игрок), moderator (модер), admin (админ), owner (владелец).
3. Для группы default запретите ВСЕ команды, кроме: /help, /msg, /spawn, /home, /tpa, /warp.
4. Запретите право * (звезда, все права) даже для админов. Выдавайте права точечно.
5. Проверьте право bukkit.command.plugins — оно должно быть только у админов.
6. Проверьте право minecraft.command.op — оно должно быть ТОЛЬКО у консоли (не у игроков).

Уровень 2: Защита от вредоносных плагинов

1. Скачивайте плагины только с официальных источников: SpigotMC, Bukkit, PaperMC, GitHub разработчика.
2. Проверяйте дату последнего обновления. Плагин, не обновлявшийся 2 года — кандидат на удаление.
3. Проверяйте количество скачиваний и отзывы. Плагин с 10 скачиваниями от неизвестного автора — подозрителен.
4. Установите плагин AntiMalware — он сканирует JAR-файлы на наличие известных сигнатур вредоносного кода.
5. Регулярно проверяйте папку plugins на наличие новых или изменённых файлов.

Уровень 3: Мониторинг и логирование

1. Установите CommandLog — он записывает все команды, выполненные игроками и консолью.
2. Настройте алерты в Discord на выполнение команд: /op, /deop, /stop, /reload, /plugman.
3. Проверяйте файл ops.json ежедневно на наличие неизвестных ников.
4. Проверяйте консольные логи на наличие подозрительных сообщений (подключения к неизвестным IP, выполнение системных команд).

Уровень 4: Физическая безопасность

1. Закройте порты бекендов брандмауэром — доступ только с IP прокси (BungeeCord/Velocity) или localhost.
2. Используйте сложный пароль RCON (если включён) — 20+ символов.
3. Отключите командные блоки: enable-command-block=false.
4. Ограничьте доступ к файлам сервера — папка plugins и конфиги должны быть доступны только процессу сервера.

💡 Совет профи

Проводите регулярный аудит безопасности. Раз в месяц выделите час на проверку: список плагинов, логи команд за месяц, файл ops.json, папка plugins на наличие неизвестных JAR. Заведите чеклист и проходите по нему. Обнаружение бэкдора через месяц после взлома — это катастрофа. Обнаружение через день — это спасённый сервер.