Honeypot · Difesa Attiva è un sistema di sicurezza che ribalta la logica della difesa tradizionale: invece di limitarsi ad alzare muri, tende una trappola. Pubblica in rete alcuni servizi 'esca', indistinguibili da veri pannelli di amministrazione, progettati per attirare i bot e gli scanner automatici che setacciano continuamente Internet in cerca di sistemi vulnerabili.
Il principio è semplice ed efficace: nessun utente legittimo ha motivo di raggiungere quei servizi. Qualsiasi interazione con l'esca è quindi, per definizione, sospetta — e diventa un segnale d'allarme affidabile, praticamente privo di falsi positivi.
Il sistema analizza i tentativi in tempo reale — accessi verso endpoint sensibili, richieste tipiche degli scanner, comportamenti anomali — e applica soglie di frequenza per riconoscere le attività automatizzate, distinguendo il rumore di fondo della rete da un vero tentativo di intrusione.
Alla prima azione ostile scatta la risposta automatica: l'aggressore viene registrato e inserito senza intervento umano in un gruppo di blocco del firewall UniFi, che ne interdice il traffico verso l'intera rete. Le richieste successive ricevono risposte finte e volutamente rallentate, facendo perdere tempo e risorse a chi attacca.
Ogni evento viene geolocalizzato e archiviato in un database locale per analisi e statistiche; gli indirizzi malevoli vengono condivisi con le blocklist collaborative della community (come AbuseIPDB), contribuendo alla difesa collettiva, mentre ogni blocco genera una notifica in tempo reale via Telegram. Il tutto gira in produzione con gestione dei processi PM2 per stabilità e riavvio automatico.
I risultati del sistema sono pubblici e verificabili: le segnalazioni degli indirizzi malevoli intercettati sono consultabili sul profilo AbuseIPDB, mentre l'elenco aggiornato degli scanner rilevati è pubblicato nel repository Scanner-List su GitHub.
L'obiettivo del progetto è trasformare la sicurezza da reattiva a proattiva: invece di attendere l'attacco, si costruisce un'esca che lo intercetta precocemente, lo neutralizza in autonomia e alimenta un ciclo continuo di threat intelligence — riducendo drasticamente superficie e tempi di esposizione.