From c167ae55035b95d26f077c60a44645bcc98a6203 Mon Sep 17 00:00:00 2001 From: Giacomo Sanchietti Date: Tue, 6 Oct 2026 12:24:46 +0200 Subject: [PATCH 1/2] docs(threat-shield): document community blocklist Registered firewalls now send the addresses blocked by brute force protection to Nethesis and can use the shared community blocklist. Describe how it works and what each subscription level gets. Assisted-by: Claude Code:claude-opus-5-5 --- .../security/threat_shield_ip.md | 28 +++++++++++++++++++ .../security/threat_shield_ip.md | 28 +++++++++++++++++++ 2 files changed, 56 insertions(+) diff --git a/docs/administrator-manual/security/threat_shield_ip.md b/docs/administrator-manual/security/threat_shield_ip.md index 4052e6e1..bd0002cf 100644 --- a/docs/administrator-manual/security/threat_shield_ip.md +++ b/docs/administrator-manual/security/threat_shield_ip.md @@ -50,6 +50,34 @@ Enterprise blocklists include a \"Confidence\" score which is shown in the UI. T Yoroi and Nethesis blocklists are Enterprise blocklists. These lists will be listed only if the machine has a valid [Enterprise or Community subscription](../system/subscription.md) and a valid entitlement for the Threat Shield IP service. +### Nethesis community blocklist {#nethesis_community-section} + +Attackers usually target many firewalls at once. NethSecurity and NethServer systems with a subscription share the attackers they block, so that each system can block them before they attack. + +It works this way: + +- When Threat Shield IP blocks an IP address with the [brute force protection](#brute_force-section), the firewall sends that address to Nethesis. Only public addresses are sent. The firewall sends them every 5 minutes. +- When enough systems report the same address, Nethesis adds it to the `Nethesis community - Level 2` blocklist. +- Firewalls with the Threat Shield entitlement can enable this blocklist from the `Blocklist feeds` tab, like the other Enterprise blocklists. It is disabled by default. + +Registered firewalls also apply the Nethesis global allowlist. The addresses in this list, such as the Nethesis subscription servers, are never blocked. + +What happens depends on the subscription: + +| Firewall | Sends blocked addresses | Nethesis global allowlist | `Nethesis community - Level 2` blocklist | +|---|---|---|---| +| Not registered | No | No | Not available | +| Registered | Yes | Yes | Not shown | +| Registered with the Threat Shield entitlement | Yes | Yes | Available, disabled by default | + +No configuration is needed. Reporting starts when you register the firewall and stops when you unregister it. A firewall that is not registered sends nothing. + +:::note + +banIP supports a single block hook, a script that runs on every blocked address. If you configured your own script in the `ban_blockhook` option, NethSecurity keeps it and does not send blocked addresses. A `threat_shield` message is written in `/var/log/messages`. + +::: + ### Logging The Threat Shield IP feature includes advanced logging capabilities to monitor and track potential threats. The logging section allows you to configure which types of blocked packets are logged: diff --git a/i18n/it/docusaurus-plugin-content-docs/current/administrator-manual/security/threat_shield_ip.md b/i18n/it/docusaurus-plugin-content-docs/current/administrator-manual/security/threat_shield_ip.md index 0b907837..4b7e569b 100644 --- a/i18n/it/docusaurus-plugin-content-docs/current/administrator-manual/security/threat_shield_ip.md +++ b/i18n/it/docusaurus-plugin-content-docs/current/administrator-manual/security/threat_shield_ip.md @@ -50,6 +50,34 @@ Le liste di blocco Enterprise includono un punteggio "Affidabilità" mostrato ne I blocklist di Yoroi e Nethesis sono blocklist Enterprise. Questi elenchi verranno visualizzati solo se la macchina ha un valido [abbonamento Enterprise o Community](../system/subscription.md) e un valido diritto per il servizio Threat Shield IP. +### Lista di blocco Nethesis community {#nethesis_community-section} + +Gli attaccanti di solito colpiscono molti firewall contemporaneamente. I sistemi NethSecurity e NethServer con una sottoscrizione condividono gli attaccanti che bloccano, così ogni sistema può bloccarli prima che attacchino. + +Funziona così: + +- Quando Threat Shield IP blocca un indirizzo IP con la [protezione brute force](#brute_force-section), il firewall invia quell'indirizzo a Nethesis. Vengono inviati solo indirizzi pubblici. Il firewall li invia ogni 5 minuti. +- Quando abbastanza sistemi segnalano lo stesso indirizzo, Nethesis lo aggiunge alla lista di blocco `Nethesis community - Level 2`. +- I firewall con l'entitlement Threat Shield possono abilitare questa lista dalla scheda `Blocklist feeds`, come le altre liste di blocco Enterprise. È disabilitata di default. + +I firewall registrati applicano anche la allowlist globale di Nethesis. Gli indirizzi in questa lista, come i server delle sottoscrizioni Nethesis, non vengono mai bloccati. + +Il comportamento dipende dalla sottoscrizione: + +| Firewall | Invia gli indirizzi bloccati | Allowlist globale Nethesis | Lista di blocco `Nethesis community - Level 2` | +|---|---|---|---| +| Non registrato | No | No | Non disponibile | +| Registrato | Sì | Sì | Non mostrata | +| Registrato con l'entitlement Threat Shield | Sì | Sì | Disponibile, disabilitata di default | + +Non serve alcuna configurazione. L'invio parte quando registri il firewall e si ferma quando annulli la registrazione. Un firewall non registrato non invia nulla. + +:::note + +banIP supporta un solo block hook, uno script eseguito per ogni indirizzo bloccato. Se hai configurato un tuo script nell'opzione `ban_blockhook`, NethSecurity lo mantiene e non invia gli indirizzi bloccati. Un messaggio `threat_shield` viene scritto in `/var/log/messages`. + +::: + ### Registrazione La funzione Threat Shield IP include funzionalità avanzate di registrazione per monitorare e tracciare le minacce potenziali. La sezione di registrazione consente di configurare quali tipi di pacchetti bloccati vengono registrati: From 6bca0fde5b7abed4879e196fd77104e412a20f64 Mon Sep 17 00:00:00 2001 From: Giacomo Sanchietti Date: Tue, 6 Oct 2026 12:31:03 +0200 Subject: [PATCH 2/2] docs(threat-shield): say add-on, drop hook note Use the add-on name customers see, mark the community blocklist as not available without it, and drop the custom block hook note. Assisted-by: Claude Code:claude-opus-5-5 --- .../security/threat_shield_ip.md | 12 +++--------- .../security/threat_shield_ip.md | 12 +++--------- 2 files changed, 6 insertions(+), 18 deletions(-) diff --git a/docs/administrator-manual/security/threat_shield_ip.md b/docs/administrator-manual/security/threat_shield_ip.md index bd0002cf..e31a1a05 100644 --- a/docs/administrator-manual/security/threat_shield_ip.md +++ b/docs/administrator-manual/security/threat_shield_ip.md @@ -58,7 +58,7 @@ It works this way: - When Threat Shield IP blocks an IP address with the [brute force protection](#brute_force-section), the firewall sends that address to Nethesis. Only public addresses are sent. The firewall sends them every 5 minutes. - When enough systems report the same address, Nethesis adds it to the `Nethesis community - Level 2` blocklist. -- Firewalls with the Threat Shield entitlement can enable this blocklist from the `Blocklist feeds` tab, like the other Enterprise blocklists. It is disabled by default. +- Firewalls with the Threat Shield add-on can enable this blocklist from the `Blocklist feeds` tab, like the other Enterprise blocklists. It is disabled by default. Registered firewalls also apply the Nethesis global allowlist. The addresses in this list, such as the Nethesis subscription servers, are never blocked. @@ -67,17 +67,11 @@ What happens depends on the subscription: | Firewall | Sends blocked addresses | Nethesis global allowlist | `Nethesis community - Level 2` blocklist | |---|---|---|---| | Not registered | No | No | Not available | -| Registered | Yes | Yes | Not shown | -| Registered with the Threat Shield entitlement | Yes | Yes | Available, disabled by default | +| Registered | Yes | Yes | Not available | +| Registered with the Threat Shield add-on | Yes | Yes | Available, disabled by default | No configuration is needed. Reporting starts when you register the firewall and stops when you unregister it. A firewall that is not registered sends nothing. -:::note - -banIP supports a single block hook, a script that runs on every blocked address. If you configured your own script in the `ban_blockhook` option, NethSecurity keeps it and does not send blocked addresses. A `threat_shield` message is written in `/var/log/messages`. - -::: - ### Logging The Threat Shield IP feature includes advanced logging capabilities to monitor and track potential threats. The logging section allows you to configure which types of blocked packets are logged: diff --git a/i18n/it/docusaurus-plugin-content-docs/current/administrator-manual/security/threat_shield_ip.md b/i18n/it/docusaurus-plugin-content-docs/current/administrator-manual/security/threat_shield_ip.md index 4b7e569b..8717678e 100644 --- a/i18n/it/docusaurus-plugin-content-docs/current/administrator-manual/security/threat_shield_ip.md +++ b/i18n/it/docusaurus-plugin-content-docs/current/administrator-manual/security/threat_shield_ip.md @@ -58,7 +58,7 @@ Funziona così: - Quando Threat Shield IP blocca un indirizzo IP con la [protezione brute force](#brute_force-section), il firewall invia quell'indirizzo a Nethesis. Vengono inviati solo indirizzi pubblici. Il firewall li invia ogni 5 minuti. - Quando abbastanza sistemi segnalano lo stesso indirizzo, Nethesis lo aggiunge alla lista di blocco `Nethesis community - Level 2`. -- I firewall con l'entitlement Threat Shield possono abilitare questa lista dalla scheda `Blocklist feeds`, come le altre liste di blocco Enterprise. È disabilitata di default. +- I firewall con l'add-on Threat Shield possono abilitare questa lista dalla scheda `Blocklist feeds`, come le altre liste di blocco Enterprise. È disabilitata di default. I firewall registrati applicano anche la allowlist globale di Nethesis. Gli indirizzi in questa lista, come i server delle sottoscrizioni Nethesis, non vengono mai bloccati. @@ -67,17 +67,11 @@ Il comportamento dipende dalla sottoscrizione: | Firewall | Invia gli indirizzi bloccati | Allowlist globale Nethesis | Lista di blocco `Nethesis community - Level 2` | |---|---|---|---| | Non registrato | No | No | Non disponibile | -| Registrato | Sì | Sì | Non mostrata | -| Registrato con l'entitlement Threat Shield | Sì | Sì | Disponibile, disabilitata di default | +| Registrato | Sì | Sì | Non disponibile | +| Registrato con l'add-on Threat Shield | Sì | Sì | Disponibile, disabilitata di default | Non serve alcuna configurazione. L'invio parte quando registri il firewall e si ferma quando annulli la registrazione. Un firewall non registrato non invia nulla. -:::note - -banIP supporta un solo block hook, uno script eseguito per ogni indirizzo bloccato. Se hai configurato un tuo script nell'opzione `ban_blockhook`, NethSecurity lo mantiene e non invia gli indirizzi bloccati. Un messaggio `threat_shield` viene scritto in `/var/log/messages`. - -::: - ### Registrazione La funzione Threat Shield IP include funzionalità avanzate di registrazione per monitorare e tracciare le minacce potenziali. La sezione di registrazione consente di configurare quali tipi di pacchetti bloccati vengono registrati: