Due filtri a monte che riducono il rumore e la superficie d'attacco prima ancora che il WAF o l'applicazione entrino in gioco:
- GeoIP – bloccare (o permettere) il traffico per paese di origine. Se il tuo servizio serve solo l'Italia, chiudere agli altri continenti elimina in un colpo la maggioranza degli scanner e dei brute force. Semplice ed efficace, con l'onesto limite che si aggira con VPN/proxy e va usato con giudizio (non tagliar fuori utenti legittimi o CDN)
- liste di reputazione – blocklist di IP noti come malevoli, aggiornate da feed di threat intelligence: scanner di massa (GreyNoise cataloga chi "rumoreggia" su internet), nodi Tor, IP compromessi, botnet. FireHOL aggrega decine di feed; nel portfolio, blacklists fa lo stesso per i domini
Si applicano a livello di firewall (OPNsense/pfSense con alias GeoIP e feed automatici, nftables con ipset) o di reverse proxy. Sono filtri probabilistici, non muri: fanno parte della difesa in profondità – riducono drasticamente il volume di attacchi e log-noise (aiutando anche contro l'alert fatigue), ma dietro devono restare WAF, rate limiting e patch. La regola: bloccare per reputazione e geografia è togliere il grosso del rumore prima delle difese costose – meno lavoro per tutto ciò che sta a valle.