Bollettino d’assedio — 18 ottobre 2026

Un’ora sul fronte WAN del Dojo, 07:00-08:01 del 18 ottobre 2026, raccontata minuto per minuto. Lo sniffer sta sul mirror, prima del firewall: vede tutto quello che bussa, anche quello che non entrerà mai.

Una premessa onesta. In questa finestra lo sniffer ha visto 1.727.165 pacchetti diretti al nostro indirizzo pubblico. La gran parte non è attacco: è il traffico di ritorno della normale navigazione. L’assedio è la fetta non richiesta, quella che bussa al router e che il firewall butta via — ed è questa.

La telecronaca, minuto per minuto

07:00 — Inizio finestra. La macchina è fredda: CPU al 3,0%, memoria stabile a 1.591 MB. Il cancello è chiuso.

07:01 — Primo impatto: 7.095 colpi DNS scartati. Il flusso è costante, la regola blocca tutto. Domenica scorsa, alla stessa ora, era circa la metà: la giornata parte già più carica.

07:18 — Salita a 8.402 colpi. Il bersaglio resta dhitc.com, query ANY. Nessun varco aperto.

07:25 — 8.587 colpi. La pressione aumenta ma la CPU non si muove. I mittenti sono falsificati: US, BN, GB in testa.

07:26 — 8.690 colpi. Picco intermedio. Le porte 8291 e 2000 restano silenziose: zero tentativi WinBox, zero API.

07:36 — 8.335 colpi. Suricata registra avvisi di handshake eccessivi, ma nessun exploit. Solo rumore.

07:43 — 8.547 colpi. La banda test sulla porta 2000 mostra 1.819 colpi, provenienza TR e NL — di nuovo la Turchia, come domenica scorsa, praticamente con gli stessi colpi (1.819 contro 1.800). Tutto scartato.

07:51 — Il picco assoluto: 9.699 colpi in un minuto. La macchina regge. CPU max 6%. Niente entra, niente esce.

08:00 — Fine finestra. Totale DNS scartati: 464.107. Altri tentativi: 2.915. Invalid: 574. PING accettati: 760.

08:01 — Il cancello resta chiuso. A CPU bassa non è entrato né uscito nulla. Solo il conto dei colpi respinti.

Da dove arrivano (con le molle)

La geolocalizzazione dice dove è registrato l’indirizzo, non dove sta la persona: dietro può esserci una VPN, un anonymizer, un server a noleggio o una macchina altrui. E va letta per categoria.

• Amplificazione DNS — le “sorgenti” (US 225.115, BN 68.504, GB 67.679, HK 32.561, CA 25.103) sono falsificate: non attaccano, sono le vittime su cui l’attaccante vorrebbe far piovere le risposte. Come domenica scorsa il Dojo lo si vorrebbe usare soprattutto contro gli Stati Uniti, ma con quasi cinque volte i colpi di allora (225.115 contro 47.000); il Brunei (BN) è la grande novità al secondo posto, l’Italia è uscita dai primi.
• Bandwidth test (porta 2000) — 1.819 colpi, provenienza TR 1.796, NL 23.
• Scansioni SYN — mittente reale: BG 1.206, IT 1.091, US 196, UA 144, NL 92. Anche questa domenica la Bulgaria guida le scansioni, quasi con gli stessi numeri della scorsa (1.206 contro 1.234); l’Italia resta appaiata, mentre gli Stati Uniti si fanno più timidi (196 contro 596).

Il tabellino dell’ora

Il verdetto di Suricata

Suricata ha ispezionato il flusso: 208 avvisi, tutti del tipo «SURICATA STREAM 3way handshake excessive different SYNs» — rumore da scansione. Nessuna firma di exploit, malware o intrusione: niente di ostile è entrato.

Rispetto alla settimana scorsa

Il bollettino di domenica 11 ottobre raccontava la stessa ora di assedio, e il confronto aiuta a leggere oggi. Il volume è cresciuto: 1.727.165 pacchetti contro 829.000, con i colpi di amplificazione DNS scartati che passano da 128.622 a 464.107 — più del triplo. Eppure la CPU resta ridicola: 3,0% di media contro l’1,8% di allora. Le scansioni, invece, sono quasi identiche (circa 2.900 in entrambe le finestre), la Bulgaria sempre in testa; e il bandwidth test dalla Turchia è lo stesso di sette giorni fa. Cambia chi fa da vittima all’amplificazione: gli Stati Uniti restano il bersaglio numero uno, ma con quasi cinque volte i colpi (225.115 contro 47.000), mentre l’Italia — seconda la settimana scorsa — esce dai primi posti e al suo posto compare il Brunei. Suricata chiude come allora: nessuna intrusione.

E la macchina?

CPU media 3,0% (mai sopra il 6%). Memoria libera da 1.591 a 1.574 MB. Connessioni attive tra 141 e 243. Nessuna coda, nessun allarme.