**Progettazione API-first** - integrarsi con qualsiasi stack di sicurezza.

</td>
</tr>
</table>



---


## 🔄 Come funziona

<div align="center">

### La pipeline di rilevamento in quattro fasi

</div>

<details> 
<summary><b>🎨 Clicca qui per espandere il diagramma interattivo</b></summary>```mermaid
flowchart TD
    Start([🌐 Incoming Request]) --> Stage0{🔓 Stage 0<br/>Whitelist Check}
    
    Stage0 -->|✅ Whitelisted IP/Path| Allow[✅ ALLOW<br/>Pass to Backend]
    Stage0 -->|❌ Not Whitelisted| Stage1{⚡ Stage 1<br/>Local Rules}
    
    Stage1 -->|🎯 Attack Pattern Match| Honeypot[🍯 HONEYPOT<br/>Deceptive Response]
    Stage1 -->|❓ Unknown Pattern| Stage2{💾 Stage 2<br/>Database Patterns}
    
    Stage2 -->|📚 Known Attack| Honeypot
    Stage2 -->|🆕 Novel Attack| Stage3{🤖 Stage 3<br/>LLM Analysis}
    
    Stage3 -->|🚨 Attack Confirmed| Honeypot
    Stage3 -->|✅ Legitimate| Allow
    
    Honeypot --> TI[🔍 Threat Intelligence<br/>Enrichment]
    TI --> Notify[📢 Notifications<br/>If Rules Match]
    Notify --> Learn[📖 Learn & Store<br/>Pattern]
    
    Allow --> Backend[🎯 Your Application]
    Backend --> Response[📦 Real Response]
    
    Learn --> LogAttack[(📊 Attack Database)]
    
    style Start fill:#4c6ef5,stroke:#364fc7,stroke-width:3px,color:#fff
    style Stage0 fill:#7950f2,stroke:#5f3dc4,stroke-width:2px,color:#fff
    style Stage1 fill:#7950f2,stroke:#5f3dc4,stroke-width:2px,color:#fff
    style Stage2 fill:#7950f2,stroke:#5f3dc4,stroke-width:2px,color:#fff
    style Stage3 fill:#7950f2,stroke:#5f3dc4,stroke-width:2px,color:#fff
    style Allow fill:#51cf66,stroke:#2f9e44,stroke-width:3px,color:#fff
    style Honeypot fill:#ff6b6b,stroke:#c92a2a,stroke-width:3px,color:#fff
    style TI fill:#ff922b,stroke:#e8590c,stroke-width:2px,color:#fff
    style Notify fill:#fab005,stroke:#f08c00,stroke-width:2px,color:#fff
    style Learn fill:#20c997,stroke:#12b886,stroke-width:2px,color:#fff
    style Backend fill:#339af0,stroke:#1c7ed6,stroke-width:2px,color:#fff
    style Response fill:#51cf66,stroke:#2f9e44,stroke-width:2px,color:#fff
    style LogAttack fill:#868e96,stroke:#495057,stroke-width:2px,color:#fff

---

## 🎛️ Due Modalità di Rilevamento

<div align="center">

Scegli la tua filosofia di sicurezza: **fidati ma verifica** vs **zero trust**

</div>

<table>
<tr>
<th width="50%">🔍 Modalità di Rilevamento (Predefinita)</th>
<th width="50%">🛡️ Modalità Allowlist (Zero Trust Rigoroso)</th>
</tr>

<tr>
<td valign="top">

### Filosofia
> **"Fidati, ma verifica"** - Analizza tutto in modo intelligente

### Configurazione```json
{
  "detection": {
    "mode": "detection",
    "enable_local_rules": true,
    "enable_llm": true,
    "whitelist_ips": [],      // Optional
    "whitelist_paths": []     // Optional
  }
}

### Ideale per
- ✅ Applicazioni web pubbliche
- ✅ API REST con client sconosciuti
- ✅ Piattaforme e-commerce
- ✅ Prodotti SaaS
- ✅ Distribuzione di contenuti
- ✅ Siti web di marketing

### Vantaggi
- 🎯 Rilevamento intelligente delle minacce
- 📊 Impara da tutto il traffico
- 🔄 Adattivo ai nuovi attacchi
- 🌐 Funziona con utenti dinamici
- 📈 Costruisce un database di intelligence

### Svantaggi
- ⚠️ Richiede ottimizzazione per i falsi positivi
- 🤖 Dipende dall'accuratezza dell'AI
- ⏱️ Periodo di apprendimento iniziale

</td>

<td valign="top">

### Filosofia
> **"Rifiuta per impostazione predefinita"** - Solo la fiducia esplicita passa

### Configurazione```json
{
  "detection": {
    "mode": "allowlist",
    "whitelist_ips": [
      "192.168.1.100",
      "10.0.0.0/24"
    ],
    "whitelist_paths": [
      "/health",
      "/metrics"
    ]
  }
}

### Ideale per
- ✅ Pannelli di amministrazione
- ✅ Dashboard interne
- ✅ Servizi solo VPN
- ✅ API backend (private)
- ✅ Strumenti di gestione database
- ✅ Webhook CI/CD

### Vantaggi
- 🔒 Massima sicurezza
- ⚡ Latenza zero (niente IA)
- 🎯 Zero falsi positivi
- 💰 Zero costi API
- 🛡️ Perfetto per obiettivi ad alto valore

### Svantaggi
- ❌ Richiede IP/percorsi noti
- 📋 Gestione manuale della whitelist
- 🚫 Blocca gli sconosciuti legittimi
- 🔧 Meno flessibile

</td>
</tr>

<tr>
<td colspan="2" align="center">

### 💡 **Consiglio:** Approccio ibrido

Inizia con **Modalità Onboarding** (7 giorni) per scoprire automaticamente i pattern legittimi, poi passa alla tua modalità preferita:

</td>
</tr>
<tr>
<td colspan="2" align="left">

<pre><code>{
  "execution_mode": {
    "mode": "onboarding",              // Auto-learn for 7 days
    "onboarding_duration_days": 7,
    "onboarding_auto_whitelist": true  // Auto-add to whitelist
  }
}</code></pre>

</td>
</tr>
<tr>
<td colspan="2" align="center">

Dopo l'onboarding → Passa alla **Modalità Rilevamento** o alla **Modalità Allowlist** in base alle tue esigenze

</td>
</tr>

</table>

**🎬 Modalità di esecuzione:**

| Modalità | Scopo | Blocco | Apprendimento | Durata |
|------|---------|----------|----------|----------|
| **🎓 Onboarding** | Apprende il traffico legittimo | ❌ No | ✅ Sì | 7 giorni (predefinito) |
| **🛡️ Detection** | Protezione completa | ✅ Sì | ✅ Sì | Produzione |

Vedi [DETECTION_MODES.md](https://github.com/0tsystemspublicrepos/ifritproxy/blob/HEAD/docs/DETECTION_MODES.md) per un confronto dettagliato e casi d'uso.



---


## 📊 Dashboard e Gestione

<div align="center">

### 🎯 Dashboard di intelligence in tempo reale

Accessibile su **`http://localhost:8443/`** con autenticazione tramite token API

</div>

**Panoramica della Dashboard:**

La dashboard IFRIT offre visibilità in tempo reale sulla tua postura di sicurezza con:

- **📊 Distribuzione dei Livelli di Minaccia** - Ripartizione visiva delle minacce CRITICAL/HIGH/MEDIUM/LOW
- **🎯 Attaccanti Più Rischiosi** - Classifica in tempo reale con punteggi di rischio, paesi e bandiere (Tor, VPN, Hosting)
- **⚡ Prestazioni della Pipeline di Rilevamento** - Metriche fase per fase che mostrano l'efficienza della cache
- **📈 Tendenze degli Attacchi** - Ripartizione delle tipologie di attacco nelle 24 ore con barre visive
- **🌍 Approfondimenti Geografici** - Posizioni di origine degli attacchi con bandiere


### ⌨️ Gestione CLI

Controllo completo da riga di comando della tua intelligence di sicurezza:

<table>
<tr>
<td width="50%" valign="top">

#### 🚨 Intelligence sugli Attacchi```bash
# View recent attacks
./ifrit-cli attack list

# Detailed analysis
./ifrit-cli attack view 42

# Statistics
./ifrit-cli attack stats

# Filter by source
./ifrit-cli attack by-ip 45.67.89.1

# Filter by target
./ifrit-cli attack by-path /api/users

# Export to JSON
./ifrit-cli attack export \
  --format json \
  --output attacks.json

</td>
<td width="50%" valign="top">

#### 👤 Profili degli Attaccanti```bash
# List all attackers
./ifrit-cli attacker list

# Profile details
./ifrit-cli attacker view 5

# Search by IP
./ifrit-cli attacker search 45.67.89.1

# Top attackers
./ifrit-cli attacker top 10

</td>
</tr>
<tr>
<td width="50%" valign="top">

#### 🔍 Intelligence sulle minacce```bash
# Recent threat intel
./ifrit-cli threat list

# IP details
./ifrit-cli threat view 45.67.89.1

# Top risky IPs
./ifrit-cli threat top 10

# Statistics
./ifrit-cli threat stats

# Force re-enrich IP
./ifrit-cli threat enrich 45.67.89.1

**🔄 Indipendente dal database:** Gli stessi comandi funzionano sia per SQLite che per PostgreSQL!

</td>
</tr>
</table>



### 🔌 API REST

<div align="center">

**API JSON per un'integrazione perfetta con il tuo stack di sicurezza**

</div>

Integra IFRIT con SIEM, strumenti di monitoraggio o dashboard personalizzate utilizzando la nostra API REST completa.

#### 🔐 Autenticazione

Tutti gli endpoint API richiedono l'autenticazione tramite token API:```bash
# Include in every request
curl -H "X-API-Token: YOUR_TOKEN_HERE" \
  http://localhost:8443/api/...