Bollettino d’assedio — 1 novembre 2026

Un’ora sul fronte WAN del Dojo, 07:00-08:00 del 1 novembre 2026, raccontata minuto per minuto. Lo sniffer sta sul mirror, prima del firewall: vede tutto quello che bussa, anche quello che non entrerà mai.

Una premessa onesta. In questa finestra lo sniffer ha visto 320.508 pacchetti diretti al nostro indirizzo pubblico. La gran parte non è attacco: è il traffico di ritorno della normale navigazione. L’assedio è la fetta non richiesta, quella che bussa al router e che il firewall butta via — ed è questa.

La telecronaca, minuto per minuto

07:01 — Apertura della finestra. 186 colpi DNS scartati subito, il ritmo è già alto.

07:11 — Il picco dell’ora: 423 colpi in un minuto. La macchina regge con CPU al 2,2%.

07:59 — Chiusura. Totale 14.571 query DNS non richieste scartate, 1.838 altri tentativi bloccati.

07:00-08:00 — Sette giorni fa, alla stessa ora, erano state 7.646 le query DNS scartate.

07:00-08:00 — JA3: 3 impronte da 5 sorgenti, la più battuta 720 volte. Stesso strumento che martella.

07:00-08:00 — JA4: 3 impronte, la più battuta 374 volte. Più preciso del JA3, distingue le versioni TLS. 2 corrispondono a Sliver Agent (FoxIO).

07:00-08:00 — HTTP in chiaro: 18 richieste. La più frequente «GET /» (14). User-agent: «visionheight.com/scan Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) Chrome/[ip] Safari/537.36».

07:00-08:00 — Il buttafuori che non fa entrare nessuno: a CPU bassa non è entrato né uscito nulla.

Da dove arrivano (con le molle)

La geolocalizzazione dice dove è registrato l’indirizzo, non dove sta la persona: dietro può esserci una VPN, un anonymizer, un server a noleggio o una macchina altrui. E va letta per categoria.

• Amplificazione DNS — le “sorgenti” (US 9.853, AE 5.093, CN 4) sono falsificate: non attaccano, sono le vittime su cui l’attaccante vorrebbe far piovere le risposte. Come domenica scorsa il Dojo lo si vorrebbe usare soprattutto contro US, due volte i colpi (9.853 contro 4.990).
• Bandwidth test (porta 2000) — 0 colpi, provenienza —.
• Scansioni SYN — mittente reale: IT 720, RU 458, BG 309, NL 269, US 268. Anche questa domenica IT guida le scansioni, più o meno come allora (720 contro 644).

Il tabellino dell’ora

Il verdetto di Suricata

Suricata ha ispezionato il flusso: 200 avvisi, tutti del tipo «SURICATA STREAM 3way handshake excessive different SYNs» — rumore da scansione. Nessuna firma di exploit, malware o intrusione: niente di ostile è entrato.

Rispetto alla settimana scorsa

Il bollettino di domenica 25 ottobre raccontava la stessa ora di assedio. Il volume è calato: 320.508 pacchetti contro 1.794.432, con le query di amplificazione DNS scartate che passano da 7.646 a 14.571 — in netta crescita. La CPU resta tranquilla: 2,2% di media contro 3,1% di allora, sempre numeri da nulla. Suricata chiude come allora: nessuna intrusione.

E la macchina?

CPU media 2,2% (mai sopra il 4%). Memoria libera da 1.548 a 1.549 MB. Connessioni attive tra 155 e 203. Nessuna coda, nessun allarme.