Alertă pe Telegram când cineva atacă serverul Emby: cele 20 de reguli de securitate explicate

De ce un server Emby public are nevoie de urechi

Dacă serverul tău Emby răspunde pe o adresă publică, este scanat chiar acum. Boții parcurg căi obișnuite, încearcă câteva parole și trec mai departe. Cea mai mare parte a acestui zgomot este inofensivă, dar printre el se ascund puținele evenimente care contează: cineva care încearcă parole pe conturile tale, o conectare dintr-o țară în care nu ai fost niciodată, un administrator nou pe care nu l-ai creat sau o probă pentru /.env.

Problema nu este detectarea — Emby înregistrează deja multe — ci atenția. Nu vrei să citești un fișier de jurnal în fiecare dimineață. Vrei un mesaj scurt pe telefon când ceva merită o privire.

Exact asta face Notificări de securitate: urmărește serverul Emby pentru evenimente anormale și sensibile din punct de vedere al securității și trimite alerte pe Telegram, prin e-mail, către un webhook sau în jurnalul de activitate Emby. Acest tutorial parcurge instalarea, conectarea unui canal și reglarea regulilor, ca alertele să rămână utile. Referința completă se află în ghidul de utilizare.

Cerințe preliminare

• Emby Server 4.10.1 sau mai nou, pe Linux, Windows sau Docker.
• Un cont MediaLab Works cu licență activă, o licență pe viață aflată în fereastra de actualizare sau perioada de probă gratuită de 30 de zile.
• Un canal de livrare: un bot Telegram, un server SMTP sau o adresă de webhook (Discord, Slack, ntfy, Gotify sau JSON simplu). Jurnalul de activitate Emby funcționează fără niciunul dintre acestea.
• Opțional, dar recomandat: un reverse proxy care transmite adresa reală a vizitatorului, ca alertele să arate IP-ul atacatorului, nu pe cel al proxy-ului tău.

Pasul 1 — Instalează plugin-ul

1. Autentifică-te în contul MediaLab Works, deschide Licenses și descarcă DLL-ul plugin-ului.
2. Copiază-l în folderul de plugin-uri Emby și repornește Emby Server:
   • Linux (pachet): /var/lib/emby/plugins/
   • Docker: folderul plugins din volumul de configurare Emby
   • Windows: %AppData%\Emby-Server\programdata\plugins\
3. Deschide Notificări de securitate în meniul dashboard-ului Emby, apasă Open License page, lipește cheia de licență și activeaz-o — sau introdu e-mailul pentru a începe perioada de probă. Licența este verificată o dată pe zi și la fiecare pornire Emby; fără internet, plugin-ul funcționează încă 7 zile după ultima verificare reușită.

Fără o licență validă, plugin-ul este oprit: nicio regulă nu rulează și nicio alertă nu este trimisă, deși setările și istoricul tău sunt păstrate.

Pasul 2 — Conectează un canal și trimite un test

Deschide plugin-ul și mergi la fila Channels. Fiecare canal este oprit implicit și fiecare are propria gravitate minimă.

Telegram. Creează un bot, lipește token-ul, trimite /start botului (sau adaugă-l într-un grup), apoi apasă Find pentru a completa chat-ul. Folosește Send a test pentru a confirma că mesajul ajunge.

E-mail. Introdu destinatarii și serverul tău SMTP. Portul 587 cu STARTTLS este recomandat; portul 465 cu TLS implicit nu este acceptat. Dacă plugin-ul Registration este instalat, poți reutiliza serverul său SMTP.

Webhook. Alege Discord, Slack, ntfy, Gotify sau JSON și lipește adresa. Pentru Gotify, adaugă ?token=… la adresa /message. Adresa conține token-ul și este stocată separat de setări.

Jurnalul de activitate Emby. Alertele apar și în lista de activitate din dashboard — o bază bună cât timp reglezi.

Începe cu Telegram sau e-mail la o gravitate minimă ridicată și lasă jurnalul de activitate pornit.

Pasul 3 — Configurează locația și elementele de bază ale rețelei

La Settings:

• Location: alege DB-IP Lite (gratuit, fără cont), MaxMind GeoLite2 (id-ul contului și cheia de licență) sau oprit. Geolocalizarea se face local; adresele IP nu sunt trimise nicăieri. Fără o sursă de locație, regulile pentru țară nouă, călătorie imposibilă și rețea nouă nu pot funcționa.
• Network: listează rețelele de încredere ca CIDR — propriul tău VPN, de exemplu. Rețelele private sunt incluse automat. Activează The server is behind its own proxy dacă Emby stă în spatele nginx, Caddy, Traefik sau similar, ca antetele transmise să fie așteptate. Cloudflare este recunoscut de la sine.
• Bad IP lists: ieșirile Tor (reîmprospătate orar) și Spamhaus DROP (zilnic) sunt pornite implicit și pot fi oprite.

Dacă mai târziu toate alertele arată aceeași adresă, aceasta este setarea de revizuit — vezi secțiunea de depanare.

Pasul 4 — Decide ce reguli merită o alertă

Fila Rules conține 20 de reguli, fiecare cu comutator propriu, gravitate și, unde se aplică, praguri. Gândește-le în patru grupuri.

Atacuri asupra conturilor. Un val de parole greșite de la o singură adresă, multe conturi încercate de la aceeași adresă (password spraying), o conectare reușită după multe eșecuri, un cont blocat. Acestea sunt semnele clasice că cineva ghicește. Pragul îl stabilești tu: câte parole greșite în câte minute.

Conectări neobișnuite. O țară nouă pentru cont sau o călătorie imposibilă — două locuri prea îndepărtate în prea puțin timp. Pentru administratori: o conectare de pe un dispozitiv nou, dintr-o rețea nouă, din afara rețelei locale sau la o oră neobișnuită. De asemenea, conectări de la o ieșire Tor sau dintr-o rețea rău famată.

Schimbări sensibile. Un administrator nou sau drepturi sensibile acordate, o parolă schimbată, un cont șters, o cheie API creată sau ștearsă, un plugin instalat, actualizat sau eliminat și setări critice modificate (acces la distanță, HTTPS, proxy-uri de încredere, porturi, UPnP). Sunt evenimente liniștite și exact pe acelea vrei să le afli.

Pagube și semne de compromitere. Ștergeri în masă dintr-o bibliotecă, un cont folosit din prea multe locuri simultan, o sesiune activă a unui cont dezactivat. Scanări și probe precum /.env, wp-login sau path traversal, antete de proxy falsificate, „Forgot password” folosit, fișierele cunoscute ale atacului din mai 2023 asupra serverelor Emby, DLL-uri care apar în folderul de plugin-uri fără o instalare din catalog și o versiune de server cu vulnerabilități publicate.

Un punct de plecare practic: păstrează regulile pentru atacuri asupra conturilor și schimbări sensibile la gravitate ridicată, ține pornite țara nouă și călătoria imposibilă odată ce locația funcționează și tratează regulile de scanare ca informative până când știi cum arată traficul tău.

Pasul 5 — Elimină spamul

Tot în fila Channels, comenzile anti-spam îți țin telefonul liniștit:

• Repeat interval — aceeași alertă este trimisă cel mult o dată pe interval.
• Grouping — un val de evenimente similare ajunge ca un singur mesaj.
• Quiet hours — doar alertele critice pleacă imediat; restul ajung într-un rezumat când se termină orele de liniște.
• Daily digest — opțional, pentru alertele medii și informative.

Fiecare alertă îți spune ce s-a întâmplat, care cont, de unde (adresă, țară, oraș, rețea, dispozitiv), de ce pare suspect și ce să verifici. Numele introduse de un atacator — dispozitiv, aplicație, cont — sunt transmise ca text simplu, așa că tratează-le ca text nesigur.

Pasul 6 — Citește istoricul, ajustează, repetă

Fila Overview arată alertele recente și starea plugin-ului. History listează fiecare alertă cu cont, adresă, locație, dispozitiv și canalele către care a fost trimisă; filtrează după gravitate, regulă și perioadă sau exportă în CSV. După o săptămână, uită-te la ce s-a declanșat: ridică gravitatea la regulile care sunt zgomot pur pentru configurația ta, coboar-o la cele pe care ai fi vrut să le afli mai devreme.

Sfaturi și depanare

• Toate alertele arată aceeași adresă. Acesta este proxy-ul tău sau Cloudflare. Configurează reverse proxy-ul ca Emby să primească adresa reală a vizitatorului și activează The server is behind its own proxy în Settings.
• Niciun mesaj pe Telegram. Trimite din nou /start botului și apasă Find; verifică gravitatea minimă a canalului.
• Fără locație. Verifică sursa Location în Settings; la MaxMind, verifică id-ul contului și cheia.
• Detectarea scanărilor are limite. Emby înregistrează doar o parte din cereri, așa că regulile de scanare văd 404-uri și POST-uri, nu fiecare GET. Tratează-le ca un semnal printre altele.
• fail2ban este complementar, nu redundant. Notificări de securitate îți spune ce se întâmplă; fail2ban poate acționa la eșecuri repetate la nivel de rețea sau proxy. Rulează ambele: alerta îți spune că se întâmplă, blocarea reduce zgomotul.
• Ține pornit canalul jurnalului de activitate ca soluție locală de rezervă, mai ales cât timp încă reglezi gravitățile.
• Actualizări. Pagina de licență poate instala o actualizare sau reveni la versiunea anterioară; repornește Emby după oricare dintre ele. Vezi changelog pentru ce s-a schimbat.

Concluzie

Expunerea Emby la internet este o alegere pe care mulți dintre noi o facem; zborul orb nu este. Cu Notificări de securitate primești un mesaj scurt și ușor de citit când cineva atacă un cont, se conectează dintr-un loc neașteptat, schimbă ceva sensibil sau scanează serverul tău — și liniște când nimic nu este în neregulă. Instalează-l, conectează un canal, începe cu regulile de gravitate ridicată și reglează din istoric. Dacă te blochezi, Bază de cunoștințe și FAQ sunt o bună următoare oprire, sau contactează-ne.