Bollettino d’assedio — 25 ottobre 2026

Un’ora sul fronte WAN del Dojo, 07:00-08:01 del 25 ottobre 2026, raccontata minuto per minuto. Lo sniffer sta sul mirror, prima del firewall: vede tutto quello che bussa, anche quello che non entrerà mai.

Una premessa onesta. In questa finestra lo sniffer ha visto 1.794.432 pacchetti diretti al nostro indirizzo pubblico. La gran parte non è attacco: è il traffico di ritorno della normale navigazione. L’assedio è la fetta non richiesta, quella che bussa al router e che il firewall butta via — ed è questa.

La telecronaca, minuto per minuto

07:01 — Apertura della finestra: 697 colpi DNS scartati in un minuto. Il bersaglio è hbtbank.com, query ANY. La macchina regge: CPU media 3,1%.

07:13 — Rialzo improvviso: 240 colpi. Segue un’onda di traffico che tocca i 256 alle 07:14. Nessun exploit rilevato da Suricata, solo avvisi su handshake eccessivi.

07:30 — Seconda ondata: 161 colpi, poi 255 alle 07:31. Il pattern si ripete: picchi brevi, poi calo. Totale scarti DNS in crescita verso i 7.646.

07:53 — Ultimo picco significativo: 300 colpi. Alle 08:00 il ritmo scende a 161. La sessione si chiude con 7.646 query DNS non richieste scartate e 1.278 altri tentativi bloccati.

Sette giorni fa, alla stessa ora, le query DNS scartate erano state 464.107.

Le firme TLS mostrano 10 impronte JA3 distinte da 6 sorgenti; la più battuta è stata ripetuta 632 volte, segno di un unico strumento che martella.

Le firme JA4, più precise del JA3 perché distinguono le versioni di TLS, registrano 9 impronte distinte da 6 sorgenti, con un massimo di 340 ripetizioni per la stessa firma.

13 richieste HTTP in chiaro sospette: la più frequente è «GET /» (12 volte), con user-agent «Mozila/5.0» (1). Gli IP nei payload sono oscurati come [ip].

La saracinesca è rimasta abbassata: a CPU bassa non è entrato né uscito nulla di utile per l’attaccante.

Da dove arrivano (con le molle)

La geolocalizzazione dice dove è registrato l’indirizzo, non dove sta la persona: dietro può esserci una VPN, un anonymizer, un server a noleggio o una macchina altrui. E va letta per categoria.

• Amplificazione DNS — le “sorgenti” (US 4.990, AE 2.200, CN 6, UA 1) sono falsificate: non attaccano, sono le vittime su cui l’attaccante vorrebbe far piovere le risposte. Come domenica scorsa il Dojo lo si vorrebbe usare soprattutto contro US, più timidi (4.990 contro 225.115). Esce BN dai primi, entra AE.
• Bandwidth test (porta 2000) — 0 colpi, provenienza US 1.
• Scansioni SYN — mittente reale: IT 644, NL 239, US 227, BG 129, GB 76.

Il tabellino dell’ora

Il verdetto di Suricata

Suricata ha ispezionato il flusso: 203 avvisi, tutti del tipo «SURICATA STREAM 3way handshake excessive different SYNs» — rumore da scansione. Nessuna firma di exploit, malware o intrusione: niente di ostile è entrato.

Rispetto alla settimana scorsa

Il bollettino di domenica 18 ottobre raccontava la stessa ora di assedio. Il volume è cresciuto: 1.794.432 pacchetti contro 1.727.165, con le query di amplificazione DNS scartate che passano da 464.107 a 7.646 — meno di un terzo. La CPU resta tranquilla: 3,1% di media contro 3% di allora, sempre numeri da nulla. Suricata chiude come allora: nessuna intrusione.

E la macchina?

CPU media 3,1% (mai sopra il 7%). Memoria libera da 1.574 a 1.575 MB. Connessioni attive tra 187 e 331. Nessuna coda, nessun allarme.