Ogni router con un indirizzo pubblico viene bussato di continuo, giorno e notte, senza che nessuno l’abbia scelto in particolare. Questa pagina mostra dal vivo che cosa arriva alla WAN del mio laboratorio: ogni arco è traffico non richiesto, disegnato dal paese da cui parte il pacchetto fino al Dojo.
È materiale didattico, non intelligence. Molte mappe degli attacchi che si vedono in giro sono scenografia; qui c’è traffico vero, classificato nel laboratorio, con i suoi limiti scritti in chiaro.
Il paese è l’origine del pacchetto, non il colpevole. Dietro un indirizzo può esserci un server affittato, una VPN o un dispositivo compromesso; nell’amplificazione DNS l’indirizzo è addirittura falsificato e appartiene alla vittima. E in questa pagina non compare mai un indirizzo IP: né quelli di chi spedisce né quello del Dojo.
La uso nei corsi per mostrare perché il firewall di un router va scritto prima di collegarlo a Internet, non dopo.
Il pulsante «Firewall OFF» è una simulazione: il firewall del Dojo non lo spegniamo mai davvero. Premendolo, la mappa prende gli stessi pacchetti veri che stanno arrivando e mostra che cosa succederebbe senza filtri. Su alcuni attacchi, quelli di amplificazione DNS, vedi partire dal Dojo la risposta, decine di volte più grossa della richiesta, verso la vittima di cui l’attaccante ha falsificato l’indirizzo: quegli archi di ritorno sono simulati. Succederebbe qualcosa di molto simile se il firewall lo spegnessimo sul serio.
L'ultima ora in cifre In attesa dei primi dati…
Che cosa sa questa mappa, e che cosa non sa
Sa
- Da quale paese risulta partito il pacchetto, secondo un database di geolocalizzazione degli indirizzi.
- Quale operatore di rete (AS) annuncia quell'indirizzo su Internet.
- Quando è arrivato e che tipo di traffico è, dal protocollo e dalla porta.
Non sa
- Chi c'è dietro. Il paese è quello della macchina che spedisce: spesso un server affittato, una VPN o un dispositivo compromesso, non la persona.
- Se l'indirizzo è vero. Con UDP si falsifica: nell'amplificazione DNS il paese è quello della vittima.
- Le intenzioni. Molte scansioni vengono da progetti di ricerca dichiarati.
- Se un attacco è riuscito: qui c'è solo traffico arrivato al firewall.
Nessun indirizzo IP: la pagina riceve solo paese, categoria, nome dell'operatore, orario e numero di pacchetti. Né gli indirizzi di chi spedisce né quello del Dojo escono mai dal laboratorio, e il punto d'arrivo sulla mappa è simbolico.
Le categorie
- Bandwidth test
- Il bandwidth test di MikroTik (porta 2000): qualcuno prova a far generare traffico al router. Un router con il servizio aperto diventa un cannone gratis.
- Amplificazione DNS
- Risposte DNS che nessuno qui ha chiesto. L'indirizzo di origine è falsificato: il paese indicato è quello della vittima di cui l'attaccante si spaccia, non dell'attaccante.
- Scansione di porte
- Sonde verso tante porte per vedere che cosa risponde. Lo fanno ricercatori, motori di ricerca dei dispositivi e malintenzionati: dal pacchetto non si distinguono.
- RDP
- Tentativi verso il desktop remoto di Windows (porta 3389), che su un router non c'è: chi bussa prova a caso.
- Telnet
- Telnet (porta 23): il bersaglio preferito delle botnet di dispositivi con la password di fabbrica.
- SSH
- SSH (porta 22): utenti e password provati a tappeto.
- PPTP
- PPTP (porta 1723): vecchie VPN, cercate perché spesso deboli.
- SMB
- Condivisione file di Windows (porta 445): la porta dei grandi worm.
- SYN
- Aperture di connessione TCP lasciate a metà: scansioni veloci o tentativi di saturazione.
Per capire meglio
Il bollettino d'assedio
È un esperimento divulgativo: ogni domenica pubblico un'ora di traffico vero arrivato alla WAN del Dojo, commentata come una telecronaca. Chi bussa, da dove parte il pacchetto, che cosa cerca e che cosa ne fa il firewall. Sempre e solo dati aggregati, senza un indirizzo IP.
- 11 Ottobre 2026 Bollettino d’assedio — 11 ottobre 2026Un'ora di traffico WAN reale sul gateway del Dojo, raccontata minuto per minuto: 128.622 query di amplificazione DNS scartate, bandwidth test dalla Turchia, scansioni dalla Bulgaria, e il verdetto di Suricata — nessuna intrusione. Il tutto a CPU 1,8%.