docs(crowdsec): document Threat Shield

AGENTS.md

@@ -100,6 +100,8 @@ reports broken links and anchors.
   structure when adding a new application.
 - When updating an example, also remove any notes that referred to the
   replaced behaviour as a future or planned feature.
+- In Italian pages, write "subscription" (feminine: "la subscription",
+  plural "le subscription"), never "sottoscrizione" or "abbonamento".
 - Do not write which release introduced a feature (for example "Available
   from NethServer 8.10" or "core 3.22.0"). The docs always describe a cluster
   with the latest updates installed.

docs/administrator-manual/applications/crowdsec.md

@@ -23,7 +23,8 @@ Once installed, CrowdSec is already fully functional and starts protecting NS8 a
 ## Web interface
 
 The module's side menu gives access to the following pages: `Status`,
-`Detections`, `Collections`, `Blocklists`, `Settings`, and `About`.
+`Detections`, `Collections`, `Blocklists`, `Threat Shield`, `Settings`, and
+`About`.
 
 ### Status
 
@@ -99,6 +100,67 @@ blocked. Enter one entry per line, for example:
 trusted.example.com
 ```
 
+### Threat Shield {#threat-shield}
+
+Attackers usually target many servers at once. NethServer and NethSecurity
+systems with a subscription share the attackers they block, so that each
+system can block them before they attack.
+
+It works this way:
+
+- When CrowdSec blocks an IP address, the server sends that address to
+  Nethesis.
+- When enough systems report the same address, Nethesis adds it to the
+  `Nethesis community - Level 2` blocklist.
+- Servers with the Threat Shield add-on can enable this blocklist and other
+  blocklists maintained by Nethesis. CrowdSec downloads the enabled
+  blocklists every 30 minutes and blocks their IP addresses in the firewall.
+
+Servers with a subscription also apply the Nethesis global allowlist. The
+addresses in this list, such as the Nethesis subscription servers, are never
+blocked.
+
+What happens depends on the [subscription](../about/subscription.md):
+
+| Server | Sends blocked addresses | Nethesis global allowlist | Threat Shield blocklists |
+|---|---|---|---|
+| Without subscription | No | No | Not available |
+| With subscription | Yes | Yes | Not available |
+| With subscription and the Threat Shield add-on | Yes | Yes | Available, disabled by default |
+
+The Threat Shield add-on is available for both Community and Enterprise
+subscriptions.
+
+No configuration is needed. Sending starts when the server has a
+subscription and stops when the subscription is removed. If the server loses
+the subscription or the add-on, the addresses imported from the Threat Shield
+blocklists are removed.
+
+#### Blocklist
+
+The table lists the available blocklists with `Status`, `Confidence`,
+`Entries` and `Last update`. Select the blocklists to enable and click
+`Save`. The import starts right after you save. Disabling a blocklist removes
+its addresses from the firewall.
+
+| Blocklist | Confidence |
+|---|---|
+| `Yoroi malware - Level 1` | 10 |
+| `Yoroi malware - Level 2` | 8 |
+| `Yoroi suspicious - Level 1` | 10 |
+| `Yoroi suspicious - Level 2` | 8 |
+| `Nethesis suspicious - Level 3` | 6 |
+| `Nethesis community - Level 2` | 8 |
+
+Confidence goes from 1 to 10. A higher value means a lower risk of blocking
+a legitimate address. Confidence is not shown with a Community subscription.
+
+#### Search IP in Threat Shield blocklists
+
+Enter an IP address and click `Search` to check whether it is blocked by an
+enabled Threat Shield blocklist. If it is, the result names the blocklists
+that contain it.
+
 ### Settings
 
 - `Local network blocking`: disabled as default, private/LAN traffic is

i18n/it/docusaurus-plugin-content-docs/current/administrator-manual/applications/crowdsec.md

@@ -22,7 +22,7 @@ Una volta installato, CrowdSec è già completamente funzionante e inizia a prot
 
 ## Interfaccia web
 
-Il menu laterale del modulo offre accesso alle seguenti pagine: `Status`, `Detections`, `Collections`, `Blocklists`, `Settings` e `About`.
+Il menu laterale del modulo offre accesso alle seguenti pagine: `Status`, `Detections`, `Collections`, `Blocklists`, `Threat Shield`, `Settings` e `About`.
 
 ### Status
 
@@ -68,6 +68,49 @@ Indirizzi IP, intervalli CIDR e nomi di dominio attendibili che non devono mai e
 trusted.example.com
 ```
 
+### Threat Shield {#threat-shield}
+
+Gli attaccanti di solito colpiscono molti server contemporaneamente. I sistemi NethServer e NethSecurity con una subscription condividono gli attaccanti che bloccano, così ogni sistema può bloccarli prima che attacchino.
+
+Funziona così:
+
+- Quando CrowdSec blocca un indirizzo IP, il server invia quell'indirizzo a Nethesis.
+- Quando abbastanza sistemi segnalano lo stesso indirizzo, Nethesis lo aggiunge alla lista di blocco `Nethesis community - Level 2`.
+- I server con l'add-on Threat Shield possono abilitare questa lista di blocco e altre liste di blocco gestite da Nethesis. CrowdSec scarica le liste di blocco abilitate ogni 30 minuti e blocca i loro indirizzi IP nel firewall.
+
+I server con una subscription applicano anche la lista di permessi globale di Nethesis. Gli indirizzi in questa lista, come i server delle subscription Nethesis, non vengono mai bloccati.
+
+Il comportamento dipende dalla [subscription](../about/subscription.md):
+
+| Server | Invia gli indirizzi bloccati | Lista di permessi globale Nethesis | Liste di blocco Threat Shield |
+|---|---|---|---|
+| Senza subscription | No | No | Non disponibili |
+| Con subscription | Sì | Sì | Non disponibili |
+| Con subscription e add-on Threat Shield | Sì | Sì | Disponibili, disabilitate di default |
+
+L'add-on Threat Shield è disponibile sia per la subscription Community sia per quella Enterprise.
+
+Non serve alcuna configurazione. L'invio parte quando il server ha una subscription e si ferma quando la subscription viene rimossa. Se il server perde la subscription o l'add-on, gli indirizzi importati dalle liste di blocco Threat Shield vengono rimossi.
+
+#### Lista di blocco
+
+La tabella elenca le liste di blocco disponibili con `Status`, `Confidence`, `Entries` e `Last update`. Seleziona le liste di blocco da abilitare e fai clic su `Save`. L'importazione parte subito dopo il salvataggio. Disabilitare una lista di blocco rimuove i suoi indirizzi dal firewall.
+
+| Lista di blocco | Confidenza |
+|---|---|
+| `Yoroi malware - Level 1` | 10 |
+| `Yoroi malware - Level 2` | 8 |
+| `Yoroi suspicious - Level 1` | 10 |
+| `Yoroi suspicious - Level 2` | 8 |
+| `Nethesis suspicious - Level 3` | 6 |
+| `Nethesis community - Level 2` | 8 |
+
+La confidenza va da 1 a 10. Un valore più alto indica un rischio minore di bloccare un indirizzo legittimo. Con una subscription Community la confidenza non viene mostrata.
+
+#### Cerca un IP nelle liste di blocco Threat Shield
+
+Inserisci un indirizzo IP e fai clic su `Search` per verificare se è bloccato da una lista di blocco Threat Shield abilitata. In caso affermativo, il risultato indica le liste di blocco che lo contengono.
+
 ### Impostazioni
 
 - `Blocco della rete locale`: disabilitato di default, il traffico privato/LAN non viene mai bloccato. Abilita questo interruttore se desideri che CrowdSec blocchi anche gli IP offensivi sulle tue reti locali.
@@ -109,4 +152,4 @@ Alcuni comandi utili:
 - `cscli bouncers list` — elenca i bouncer registrati (ad esempio il bouncer del firewall) e il loro stato
 - `cscli collections list` / `cscli scenarios list` — mostra quali collezioni/scenari sono installati e abilitati, utile per verificare cosa viene protetto
 - `cscli metrics` — mostra le metriche di parser/bucket/bouncer, utile per verificare che CrowdSec stia effettivamente elaborando i log
-- `cscli explain --file <logfile> --type <log-type>` — testa una riga di log contro parser e scenari, utile per eseguire il debug del motivo per cui un attacco è stato rilevato o meno
+- `cscli explain --file <logfile> --type <log-type>` — testa una riga di log contro parser e scenari, utile per eseguire il debug del motivo per cui un attacco è stato rilevato o meno