diff --git a/AGENTS.md b/AGENTS.md index ae6a02aba..1657801b4 100644 --- a/AGENTS.md +++ b/AGENTS.md @@ -100,6 +100,8 @@ reports broken links and anchors. structure when adding a new application. - When updating an example, also remove any notes that referred to the replaced behaviour as a future or planned feature. +- In Italian pages, write "subscription" (feminine: "la subscription", + plural "le subscription"), never "sottoscrizione" or "abbonamento". - Do not write which release introduced a feature (for example "Available from NethServer 8.10" or "core 3.22.0"). The docs always describe a cluster with the latest updates installed. diff --git a/docs/administrator-manual/applications/crowdsec.md b/docs/administrator-manual/applications/crowdsec.md index 06ee7fb50..d0c938c26 100644 --- a/docs/administrator-manual/applications/crowdsec.md +++ b/docs/administrator-manual/applications/crowdsec.md @@ -23,7 +23,8 @@ Once installed, CrowdSec is already fully functional and starts protecting NS8 a ## Web interface The module's side menu gives access to the following pages: `Status`, -`Detections`, `Collections`, `Blocklists`, `Settings`, and `About`. +`Detections`, `Collections`, `Blocklists`, `Threat Shield`, `Settings`, and +`About`. ### Status @@ -99,6 +100,67 @@ blocked. Enter one entry per line, for example: trusted.example.com ``` +### Threat Shield {#threat-shield} + +Attackers usually target many servers at once. NethServer and NethSecurity +systems with a subscription share the attackers they block, so that each +system can block them before they attack. + +It works this way: + +- When CrowdSec blocks an IP address, the server sends that address to + Nethesis. +- When enough systems report the same address, Nethesis adds it to the + `Nethesis community - Level 2` blocklist. +- Servers with the Threat Shield add-on can enable this blocklist and other + blocklists maintained by Nethesis. CrowdSec downloads the enabled + blocklists every 30 minutes and blocks their IP addresses in the firewall. + +Servers with a subscription also apply the Nethesis global allowlist. The +addresses in this list, such as the Nethesis subscription servers, are never +blocked. + +What happens depends on the [subscription](../about/subscription.md): + +| Server | Sends blocked addresses | Nethesis global allowlist | Threat Shield blocklists | +|---|---|---|---| +| Without subscription | No | No | Not available | +| With subscription | Yes | Yes | Not available | +| With subscription and the Threat Shield add-on | Yes | Yes | Available, disabled by default | + +The Threat Shield add-on is available for both Community and Enterprise +subscriptions. + +No configuration is needed. Sending starts when the server has a +subscription and stops when the subscription is removed. If the server loses +the subscription or the add-on, the addresses imported from the Threat Shield +blocklists are removed. + +#### Blocklist + +The table lists the available blocklists with `Status`, `Confidence`, +`Entries` and `Last update`. Select the blocklists to enable and click +`Save`. The import starts right after you save. Disabling a blocklist removes +its addresses from the firewall. + +| Blocklist | Confidence | +|---|---| +| `Yoroi malware - Level 1` | 10 | +| `Yoroi malware - Level 2` | 8 | +| `Yoroi suspicious - Level 1` | 10 | +| `Yoroi suspicious - Level 2` | 8 | +| `Nethesis suspicious - Level 3` | 6 | +| `Nethesis community - Level 2` | 8 | + +Confidence goes from 1 to 10. A higher value means a lower risk of blocking +a legitimate address. Confidence is not shown with a Community subscription. + +#### Search IP in Threat Shield blocklists + +Enter an IP address and click `Search` to check whether it is blocked by an +enabled Threat Shield blocklist. If it is, the result names the blocklists +that contain it. + ### Settings - `Local network blocking`: disabled as default, private/LAN traffic is diff --git a/i18n/it/docusaurus-plugin-content-docs/current/administrator-manual/applications/crowdsec.md b/i18n/it/docusaurus-plugin-content-docs/current/administrator-manual/applications/crowdsec.md index 14eac2577..9060b9d4e 100644 --- a/i18n/it/docusaurus-plugin-content-docs/current/administrator-manual/applications/crowdsec.md +++ b/i18n/it/docusaurus-plugin-content-docs/current/administrator-manual/applications/crowdsec.md @@ -22,7 +22,7 @@ Una volta installato, CrowdSec è già completamente funzionante e inizia a prot ## Interfaccia web -Il menu laterale del modulo offre accesso alle seguenti pagine: `Status`, `Detections`, `Collections`, `Blocklists`, `Settings` e `About`. +Il menu laterale del modulo offre accesso alle seguenti pagine: `Status`, `Detections`, `Collections`, `Blocklists`, `Threat Shield`, `Settings` e `About`. ### Status @@ -68,6 +68,49 @@ Indirizzi IP, intervalli CIDR e nomi di dominio attendibili che non devono mai e trusted.example.com ``` +### Threat Shield {#threat-shield} + +Gli attaccanti di solito colpiscono molti server contemporaneamente. I sistemi NethServer e NethSecurity con una subscription condividono gli attaccanti che bloccano, così ogni sistema può bloccarli prima che attacchino. + +Funziona così: + +- Quando CrowdSec blocca un indirizzo IP, il server invia quell'indirizzo a Nethesis. +- Quando abbastanza sistemi segnalano lo stesso indirizzo, Nethesis lo aggiunge alla lista di blocco `Nethesis community - Level 2`. +- I server con l'add-on Threat Shield possono abilitare questa lista di blocco e altre liste di blocco gestite da Nethesis. CrowdSec scarica le liste di blocco abilitate ogni 30 minuti e blocca i loro indirizzi IP nel firewall. + +I server con una subscription applicano anche la lista di permessi globale di Nethesis. Gli indirizzi in questa lista, come i server delle subscription Nethesis, non vengono mai bloccati. + +Il comportamento dipende dalla [subscription](../about/subscription.md): + +| Server | Invia gli indirizzi bloccati | Lista di permessi globale Nethesis | Liste di blocco Threat Shield | +|---|---|---|---| +| Senza subscription | No | No | Non disponibili | +| Con subscription | Sì | Sì | Non disponibili | +| Con subscription e add-on Threat Shield | Sì | Sì | Disponibili, disabilitate di default | + +L'add-on Threat Shield è disponibile sia per la subscription Community sia per quella Enterprise. + +Non serve alcuna configurazione. L'invio parte quando il server ha una subscription e si ferma quando la subscription viene rimossa. Se il server perde la subscription o l'add-on, gli indirizzi importati dalle liste di blocco Threat Shield vengono rimossi. + +#### Lista di blocco + +La tabella elenca le liste di blocco disponibili con `Status`, `Confidence`, `Entries` e `Last update`. Seleziona le liste di blocco da abilitare e fai clic su `Save`. L'importazione parte subito dopo il salvataggio. Disabilitare una lista di blocco rimuove i suoi indirizzi dal firewall. + +| Lista di blocco | Confidenza | +|---|---| +| `Yoroi malware - Level 1` | 10 | +| `Yoroi malware - Level 2` | 8 | +| `Yoroi suspicious - Level 1` | 10 | +| `Yoroi suspicious - Level 2` | 8 | +| `Nethesis suspicious - Level 3` | 6 | +| `Nethesis community - Level 2` | 8 | + +La confidenza va da 1 a 10. Un valore più alto indica un rischio minore di bloccare un indirizzo legittimo. Con una subscription Community la confidenza non viene mostrata. + +#### Cerca un IP nelle liste di blocco Threat Shield + +Inserisci un indirizzo IP e fai clic su `Search` per verificare se è bloccato da una lista di blocco Threat Shield abilitata. In caso affermativo, il risultato indica le liste di blocco che lo contengono. + ### Impostazioni - `Blocco della rete locale`: disabilitato di default, il traffico privato/LAN non viene mai bloccato. Abilita questo interruttore se desideri che CrowdSec blocchi anche gli IP offensivi sulle tue reti locali. @@ -109,4 +152,4 @@ Alcuni comandi utili: - `cscli bouncers list` — elenca i bouncer registrati (ad esempio il bouncer del firewall) e il loro stato - `cscli collections list` / `cscli scenarios list` — mostra quali collezioni/scenari sono installati e abilitati, utile per verificare cosa viene protetto - `cscli metrics` — mostra le metriche di parser/bucket/bouncer, utile per verificare che CrowdSec stia effettivamente elaborando i log -- `cscli explain --file --type ` — testa una riga di log contro parser e scenari, utile per eseguire il debug del motivo per cui un attacco è stato rilevato o meno \ No newline at end of file +- `cscli explain --file --type ` — testa una riga di log contro parser e scenari, utile per eseguire il debug del motivo per cui un attacco è stato rilevato o meno