Bollettino d’assedio — 11 ottobre 2026

Un’ora di mattina sul fronte WAN del Dojo, raccontata minuto per minuto. Lo sniffer sta sul mirror della linea, prima del firewall: vede tutto quello che bussa, anche quello che non entrerà mai. Il gateway ha le regole su, Suricata è in ascolto.

Una premessa onesta. Sul mirror, in un’ora, passano circa 829.000 pacchetti diretti al nostro indirizzo pubblico. La gran parte non è attacco: è il traffico di ritorno della normale navigazione del Dojo, le risposte di Meta, Cloudflare e Google ai nostri stessi dispositivi dietro il NAT. L’assedio è la fetta non richiesta, quella che bussa al router e che il firewall butta via. Quella la misura il router stesso, ed è questa.

La telecronaca, minuto per minuto

08:08 — Si parte. Mirror acceso, firewall su, Suricata in ascolto.

08:09 — Entrata a razzo: 3.432 colpi nel primo minuto. Tutti sul resolver, tutti giù. Il fondo di scansioni non scende mai sotto i ~40 al minuto: il metronomo.

08:11 — Prima tregua, 1.770. Intanto, sulla porta 2000, bussa il bandwidth test: nell’ora saranno 1.800 colpi e — curiosità — tutti dalla Turchia.

08:15–08:17 — Seconda ondata, 3.018 poi 3.116: query ANY su dhitc.com, la richiesta che gonfia di più la risposta.

08:20–08:30 — Mantenimento, tra 1.500 e 2.800. Connessioni sui 160-200, CPU 1-2%. Le scansioni SYN che tastano le porte arrivano soprattutto dalla Bulgaria, poi Italia e Stati Uniti.

08:32 — Accelera: 3.299.

08:33 — Il picco della mattina: 3.982 colpi in un minuto. Quasi 66 al secondo contro la regola DNS, e giù. La macchina? CPU 2%.

08:34–08:35 — Rientra: 2.788, poi 2.066.

08:42–08:48 — Plateau lungo: sette minuti sopra i 2.500, con una punta a 2.856 (08:43). Il tratto più pieno dell’ora: pressione costante, niente che passi.

08:55 — Unico guizzo della CPU al 4%: 2.549 colpi e un po’ di traffico vero in uscita insieme. Dura un minuto.

09:00–09:01 — Massimo di connessioni attive: 243. Il traffico vero del Dojo si mescola al rumore; i colpi calano a ~1.500.

09:05–09:08 — Finale in discesa: 1.599, 1.505, 1.345 (il minuto più quieto), 1.643.

09:09 — Fischio finale.

Da dove arrivano (con le molle)

La geolocalizzazione dice dove è registrato l’indirizzo, non dove sta la persona: dietro può esserci una VPN, un anonymizer, un server a noleggio o una macchina altrui. E vanno lette per categoria, perché non sono la stessa cosa.

• Amplificazione DNS — le “sorgenti” (USA 47.000, Italia 26.000, Messico 14.000, Olanda 12.000, Russia 10.000, Singapore, Emirati, Cina…) sono falsificate: non attaccano, sono le vittime su cui l’attaccante vorrebbe far piovere le nostre risposte.
• Bandwidth test (porta 2000) — 1.800 colpi, il 100% dalla Turchia. Qui il mittente è reale, perché il TCP vuole la stretta di mano: un prober vero.
• Scansioni SYN — mittente reale anche qui: Bulgaria (1.234), Italia (1.086), Stati Uniti (596), Germania, Olanda. Questi sono i veri “proviamo le maniglie”.

Il tabellino dell’ora

Il verdetto di Suricata

Suricata ha ispezionato tutto il flusso. 245 segnalazioni nell’ora, tutte di un solo tipo: “troppe strette di mano TCP con SYN diversi”, la firma del rumore da scansione. Nessuna firma di exploit, di malware, di intrusione. Ha riconosciuto e lasciato passare traffico normale (SIP, SNMP, QUIC). In una riga: niente di ostile è entrato; il poco che ha bussato era rumore di fondo, e Suricata lo ha etichettato come tale.

E la macchina?

CPU media 1,8%, mai sopra il 4%. Memoria libera piatta, da 1.601 a 1.595 MB. Connessioni attive tra 151 e 243. Nessuna coda, nessun allarme.

Un’ora normale, insomma. Pressione continua sulla porta — il DNS amp che non molla, un turco che insiste col bandwidth test, i soliti scanner bulgari e italiani — e dall’altra parte uno zerbino che a CPU 2% dice di no a tutti.