X-Varco — La sentinella di rete del Mac: regole per app, blocco tracker, mappa dei collegamenti

Tutto quello che fa

Più di un firewall

Un firewall classico apre e chiude porte: decide se una connessione può passare. X-Varco fa quello, e poi continua: riconosce chi sta parlando (l'app, non la porta), come si comporta la rete nel tempo, e se quel comportamento somiglia a un attacco. In gergo è un firewall per applicazione unito a un IDS — un sistema di rilevamento delle intrusioni — e a un monitor della privacy.

Funzione	Che cosa fa	Categoria
Filtro per applicazione	Ogni connessione è attribuita all'app che l'ha aperta (identificativo di firma, non il nome del file) e decisa in base alla sua regola.	Firewall
Regole per dominio	«Blocca facebook.com ovunque»: vale in tutte le app, sottodomini compresi, e vince su ogni altra decisione.	Firewall
Fasce orarie	Regole che valgono solo in certe ore (22:00 → 7:00 funziona: scavalcano la mezzanotte).	Firewall
Traffico in entrata	Esamina anche le connessioni che arrivano verso il Mac, non solo quelle in uscita.	Firewall
Sospendi e chiedi	La connessione sospetta resta ferma (fino a 60 secondi) finché non decidi: non bloccata, non passata.	Controllo
Quarantena software nuovo	Le app mai viste restano bloccate per alcuni giorni, finché non le promuovi tu.	Protezione
Blocco tracker	3.536 domini pubblicitari e di tracciamento fermati a livello di socket, in tutte le app — non solo nel browser.	Privacy
Sentinella anti-intrusione	16 schemi d'attacco riconosciuti dal comportamento della rete; blocca la sorgente e la elenca nella sezione Attacchi.	IDS
Blocklist C2 aggiornata	Circa 3.000 indirizzi di centri di comando di botnet (abuse.ch), bloccati e rinfrescati da soli ogni giorno.	IDS
Decisione sulle fonti	Dal badge di ogni attacco vedi le fonti e scegli, una per una, se permetterle o bloccarle: la scelta resta annotata.	Controllo
Allarme anomalie	Avvisa quando un'app conosciuta contatta una destinazione mai vista prima.	IDS
Pagella privacy	Un voto da A a D per ogni app, in base a quante connessioni vanno verso i tracker.	Privacy
Mappa mondiale	Dove finiscono le tue connessioni, con geolocalizzazione a bordo; filo rosso verso le sorgenti d'attacco.	Trasparenza
Storico 60 giorni	Grafici per ora e per giorno di consentiti, bloccati e tracker, anche a cruscotto chiuso.	Trasparenza
Semaforo e radar	Scudo verde/arancio/rosso nella barra dei menu con filo animato; nel Cruscotto radar sonar o fiume di particelle dei flussi in tempo reale.	Interfaccia
Spiegazioni con l'AI	Il pulsante «Spiegami» racconta in parole semplici cosa sta facendo una connessione (facoltativo, con una tua chiave API).	Aiuto
Italiano e inglese	Interfaccia completamente bilingue, con la lingua scelta dagli Interruttori o presa dal sistema.	Interfaccia

Un firewall guarda la porta

Le regole classiche parlano di indirizzi e numeri di porta. Utile, ma un malware moderno usa la porta 443 come tutti: passa il controllo e non si distingue dal traffico buono.

X-Varco guarda il comportamento

Conta destinazioni, misura il ritmo dei contatti, la durata delle sessioni, l'entropia dei nomi host. Sono gli indizi che tradiscono scansioni, tunnel e canali di comando — anche sulle porte «giuste».

E ti lascia l'ultima parola

Ogni rilevazione è spiegata in italiano, con la fonte in chiaro e due pulsanti: permetti o blocca. Nessuna scatola nera: le tue regole vincono sempre sull'automatismo.

Come funziona

Tre mosse, poi ci pensa lui

Nessuna configurazione da studiare: X-Varco parte in modalità osservazione e diventa severo solo quanto vuoi tu.

1

Installi e approvi

Apri l'app, un click su "Installa estensione", l'approvazione nelle Impostazioni di Sistema — e il filtro è dentro macOS, non un programma che gira di fianco.

2

Il semaforo ti parla

Scudo nella barra dei menu: verde tutto bene, arancio qualche blocco, rosso raffica di blocchi. Un click e vedi gli ultimi flussi, senza aprire l'app.

3

Decidi con un click

Con "chiedi prima" attivo, la connessione sospetta resta sospesa — non bloccata, non passata — finché non scegli tu: consenti o blocca. La scelta diventa una regola, per sempre.

Controllo quotidiano

Regole per app e per dominio, quarantena e orari

Ogni applicazione ha la sua regola: consenti o blocca, sempre o solo in una fascia oraria (le regole scavalcano la mezzanotte, 22:00 → 7:00 funziona). Le regole per dominio valgono ovunque: "blocca facebook.com" ferma anche i sottodomini, in qualunque app, e vince su ogni altra decisione. E il software appena installato finisce in quarantena: bloccato per i primi giorni finché non lo promuovi tu.

Verde — tutto regolare Arancio — blocchi recenti Rosso — raffica di blocchi

✓ Interruttore "Blocca i tracker": ferma 3.536 domini pubblicitari in tutte le app, non solo nel browser
✓ Allarme "app che si sveglia": notifica se un programma conosciuto contatta una destinazione mai vista
✓ Finestra di decisione sui blocchi di sicurezza: consenti o continua a bloccare, al momento
✓ Avvio automatico al login, se lo vuoi — e il filtro lavora anche ad app chiusa

La vista Flussi di X-Varco: ogni connessione con esito e pulsanti di decisione

Trasparenza

Pagella privacy, mappa mondiale e storico

Ogni app riceve un voto da A a D in base a quante delle sue connessioni vanno verso domini di tracciamento. La mappa mondiale mostra dove si collegano le tue app — fili bianchi dal tuo Mac a ogni destinazione, punti rossi dove c'è stato un blocco, click sul punto per nome del server e indirizzo IP. E lo storico conserva 60 giorni di grafici per ora e per giorno.

✓ Pulsante "Spiegami": l'AI racconta in italiano semplice cosa sta facendo quella connessione
✓ Geolocalizzazione con database a bordo: nessun indirizzo esce dal Mac
✓ Grafici delle ultime 24 ore e degli ultimi 30 giorni: consentiti, bloccati, tracker
✓ La pagella conta tutto lo storico, anche col cruscotto chiuso

La Mappa di X-Varco: fili bianchi dal Mac verso ogni destinazione nel mondo

Sentinella anti-intrusione

Riconosce gli attacchi, li segnala e li ferma

Non solo un firewall che apre e chiude porte: X-Varco osserva come si comporta la rete e riconosce sedici schemi d'attacco — dai soli metadati dei flussi, senza mai leggere il contenuto delle comunicazioni. Quando ne individua uno lo mostra nella sezione Attacchi, ti avvisa e blocca la sorgente per dieci minuti; dal badge puoi poi decidere fonte per fonte se permetterla o bloccarla (le tue regole restano sempre sovrane).

La sezione Attacchi

Sedici sentinelle, sempre di guardia

Ogni tipo di attacco ha il suo riquadro: verde finché non è mai successo, rosso appena viene subito, con un contatore storico che non si azzera mai. Nel Cruscotto, gli avvisi più recenti compaiono in evidenza con l'app coinvolta, la destinazione e cosa ha fatto X-Varco (segnalato o sorgente bloccata).

✓ Blocco automatico della sorgente per 10 minuti, poi si riprova
✓ Notifica di sistema con il tipo di attacco e cosa è stato fatto
✓ Sulla mappa il filo verso il server incriminato diventa rosso
✓ VPN e processi di sistema si segnalano ma non si bloccano mai

📡 Scansione di porte

Lo stesso indirizzo bussa a molte porte diverse del Mac: sta cercando servizi aperti da colpire.

≥10 porte in 60 s · sorgente bloccata

🔨 Forza bruta

Tentativi ripetuti sulla stessa porta di servizio (SSH, VNC, SMB, RDP, database): qualcuno prova le credenziali a raffica.

≥6 tentativi in 60 s · sorgente bloccata

📤 Raffica di destinazioni

Un'app contatta moltissimi server diversi in pochi secondi: il comportamento tipico dell'esfiltrazione di dati o di un worm che si propaga.

≥40 destinazioni in 60 s · app contenuta

🕳️ Tunnel DNS

Valanga di richieste DNS da una sola app: il DNS passa quasi ovunque, e per questo viene usato come canale nascosto per far uscire dati.

≥30 richieste in 60 s · app contenuta

📻 Beaconing

Contatti alla stessa destinazione a intervalli sospettosamente regolari: il ritmo con cui un malware chiama il suo centro di comando.

punteggio di regolarità ≥0,78 (metodo RITA)

🎲 Domini generati (DGA)

Molti nomi host ad alta entropia — pochissime vocali, tante cifre: gli algoritmi con cui i malware generano i domini dei loro server.

≥5 nomi anomali in 5 min

📶 Scansione fatta dal Mac

Un programma del tuo Mac bussa alla stessa porta di tanti indirizzi diversi: segno che è compromesso e cerca vittime in rete.

≥10 indirizzi in 60 s · app contenuta

⛔ Porta malfamata

Connessione verso porte usate quasi solo da botnet, telnet in chiaro e mining di criptovalute, o SMB esposto a Internet.

23, 6667, 3333, 4444, 14444, 445 → bloccata

🌊 Flood UDP

Raffica anomala di pacchetti UDP verso un solo bersaglio: il tuo Mac potrebbe essere stato arruolato in un attacco di sovraccarico (DoS).

≥80 pacchetti in 60 s · app contenuta

🎭 Dominio contraffatto

Nome host con caratteri internazionali travestiti (omografi xn--) che imitano un sito vero: la trappola classica del phishing.

segnalato

🔢 IP diretti da software nuovo

Un'app installata da poco si collega a indirizzi numerici senza mai passare dal DNS: abitudine tipica dei malware, che evitano nomi tracciabili.

≥3 indirizzi in 10 min (app <24 h)

🗄️ Server malevolo noto

L'indirizzo è nella lista dei centri di comando di botnet censiti da abuse.ch: ~3.000 indirizzi aggiornati ogni giorno.

connessione bloccata

⏱️ Canale sempre aperto

Un'app tiene viva la stessa destinazione per ore di fila: è la firma di un canale di controllo interattivo (reverse shell, C2).

≥5 ore di presenza su 6 · browser esclusi

🐢 Esfiltrazione lenta

Tante piccole connessioni verso la stessa destinazione distribuite su molte ore: la tecnica «lenta e silenziosa» che sfugge alle soglie istantanee.

≥150 flussi su ≥8 ore diverse

🔀 Protocollo fuori posto

Traffico UDP sulla porta 443 da un'app che non è un browser: il protocollo non corrisponde alla porta, trucco usato per passare inosservati.

segnalato · browser e sistema esclusi

🖧 Movimento laterale in LAN

Un'app bussa alle porte di servizio di molti computer della tua rete: il tentativo di allargarsi ai dispositivi vicini dopo aver preso il Mac.

≥8 computer in 10 min · segnalato

Da dove vengono questi riconoscimenti. Le soglie e i metodi sono ripresi dalla letteratura pubblica sull'analisi dei flussi di rete (flow-based intrusion detection), adattati a quello che un'estensione di rete di macOS può osservare — cioè i soli metadati dei flussi, mai il contenuto delle comunicazioni:

RITA — Real Intelligence Threat Analytics (Active Countermeasures): punteggio di regolarità del beaconing e rilevamento delle connessioni lunghe.
Netskope — Effective C2 Beaconing Detection: criteri di jitter e periodicità dei canali di comando.
NetFlow Logic — Detecting Low and Slow Data Exfiltration: esfiltrazione cumulativa su finestre lunghe.
Splunk Security Research — Protocol or Port Mismatch: traffico che non corrisponde alla porta usata.
Detection of Low Throughput Data Exfiltration over DNS (arXiv): tunnel DNS a basso volume.
Attaxion — NetFlow Threat Hunting Patterns: scansioni, fan-out e movimento laterale visti dai metadati.
abuse.ch — Feodo Tracker e ThreatFox: gli indirizzi dei centri di comando, in licenza CC0.

Per chi vuole i dettagli

Sotto il cofano

X-Varco non è un wrapper: è un firewall costruito sulle API di sistema Apple, con le scelte tecniche documentate qui sotto.

🧩 Estensione di sistema

Il filtro è un NEFilterDataProvider (framework Network Extension) che gira come estensione di sistema firmata e approvata dall'utente: macOS gli consegna ogni nuovo flusso socket — TCP e UDP, in uscita e in entrata — e l'estensione risponde con un verdetto allow/drop prima che il primo byte parta.

La regola di aggancio è totale (NEFilterSettings su ogni rete, ogni porta): niente liste parziali, niente proxy. Con "chiedi prima" il verdetto è pause: il flusso resta sospeso dal sistema finché l'utente non decide (timeout 60s → blocco).

🪪 Identità delle app

Su macOS il flusso non porta il bundle id: X-Varco risale all'app dall'audit token del processo via SecTask, ricavando l'identificativo di firma del codice — stabile tra versioni e non falsificabile, perché garantito dalla firma Apple.

Una cache limitata evita di rifare il lavoro crittografico a ogni connessione.

🔁 App ↔ filtro via XPC

Cruscotto ed estensione parlano su un mach service XPC nel gruppo app: l'app spinge regole e impostazioni al filtro e riceve i flussi in tempo reale; lo storico viaggia nella direzione opposta.

Niente file condivisi: l'estensione gira come root e non vede il contenitore dell'utente — una trappola classica di questa architettura, risolta qui alla radice.

🗂️ Storico aggregato

L'estensione mantiene aggregati per ora (consentiti/bloccati/tracker), per app e per indirizzo IP, potati a 60 giorni e salvati periodicamente: i grafici e la pagella non ripartono mai da zero e il costo su disco resta di pochi KB.

La prima apparizione di ogni app alimenta la quarantena; le destinazioni abituali alimentano l'allarme anomalie.

🛰️ Sentinella anti-intrusione

Finestre scorrevoli in memoria contano porte, destinazioni, richieste DNS, durate e tempi per ogni sorgente: superate le soglie scatta una delle sedici rilevazioni. Gli indirizzi in entrata riconosciuti come attaccanti finiscono in blocco totale a tempo; le app in uscita in contenimento — mai però i processi Apple, l'infrastruttura VPN o le app con una tua regola «consenti».

Il riconoscimento dei domini generati misura l'entropia del nome (vocali, cifre, lunghezza) ed è tarato per non confondere gli indirizzi IP e IPv6 con i domini di un malware. La lista degli indirizzi C2 di abuse.ch si riscarica da sola ogni giorno e viaggia fino all'estensione via XPC, perché quest'ultima gira come root e non vede il contenitore dell'utente.

📈 Spettro FFT dei flussi

L'analizzatore nel Cruscotto è una vera trasformata di Fourier (Accelerate/vDSP) sul tasso di connessioni nel tempo: le periodicità del traffico — aggiornamenti, beaconing, tunnel — appaiono come bande accese, con assi in Hz e ampiezza graduati.

🛑 Blocco tracker

La lista di Peter Lowe (3.536 domini pubblicitari e di tracciamento) è incorporata nell'app e nell'estensione: classifica i flussi per la pagella e, con l'interruttore acceso, li blocca a livello di socket con confronto per suffisso di dominio.

Lo stesso confronto serve le regole per dominio dell'utente ("blocca facebook.com ovunque"), che hanno la priorità su tutto il resto.

🗺️ Mappa e geolocalizzazione

Geolocalizzazione completamente locale: il database DB-IP City Lite è incorporato nell'app e letto da un lettore MMDB scritto su misura — nessun indirizzo lascia mai il Mac. La posizione "Il mio Mac" usa i servizi di localizzazione di sistema, con permesso esplicito.

La mappa è MapKit nativo: punti aggregati per città, dimensione proporzionale al traffico, polilinee dal Mac a ogni destinazione.

🤖 Spiegazioni con l'AI

Il pulsante "Spiegami" interroga l'API Anthropic (modello claude-opus-5) con i metadati del flusso — app, destinazione, porta, esito, categoria — e restituisce due frasi in italiano per chi non è tecnico.

Funzione opzionale: serve una chiave API personale, e senza chiave l'app funziona per intero.

🖥️ App nativa

Cruscotto, flussi, regole, pagella, storico (Swift Charts), mappa e interruttori sono SwiftUI puro; il semaforo è una MenuBarExtra con icona ridisegnata a ogni cambio di stato.

Notifiche di sistema per le anomalie, finestra di decisione AppKit sui blocchi di sicurezza, avvio al login con SMAppService.

🔏 Firma e affidabilità

App ed estensione sono firmate con hardened runtime; l'estensione dichiara content-filter-provider e l'app system-extension.install. L'aggiornamento dell'estensione è automatico a ogni avvio, con numero di build che cresce a ogni versione.

Progetto generato con XcodeGen, versionato in git, build riproducibili.

Il registro retroattivo conserva gli ultimi 10.000 flussi singoli; per i grafici e la pagella gli aggregati coprono comunque 60 giorni senza limiti di dettaglio orario.

Il database di geolocalizzazione si aggiorna da solo quando esce l'edizione mensile nuova (~60 MB da db-ip.com); si può comunque forzare con un click dall'app.

L'app dal vero

Le videate, senza ritocchi

Schermate reali di X-Varco al lavoro su un Mac vero — nessun mockup.

Cruscotto: semaforo, contatori e quarantena

Flussi in tempo reale, con regole al volo

Attacchi: sedici sentinelle con contatore storico

Interruttori: ogni funzione ha il suo, lingua compresa

Domande frequenti

Le cose che chiedono tutti

È un antivirus?

No: è un firewall. Non cerca virus nei file — controlla le connessioni di rete, app per app, e ti fa decidere chi può parlare con l'esterno. I due strumenti fanno lavori diversi e possono convivere.

Come si installa?

Si apre l'app, un click su "Installa estensione" e macOS chiede la conferma nelle Impostazioni di Sistema — la firma del sistema operativo sul fatto che il filtro sia quello giusto. Da lì in poi X-Varco lavora da solo, anche a cruscotto chiuso. Richiede macOS 15 o successivo.

Convive con Little Snitch o una VPN?

Sì: macOS mette i filtri contenuti in serie, quindi X-Varco può lavorare accanto ad altri firewall e alle VPN (Tailscale compresa). Una connessione deve superare tutti i controlli attivi.

I miei dati escono dal Mac?

No. Regole, storico, pagella e geolocalizzazione vivono sul tuo Mac (il database delle posizioni è incorporato nell'app). L'unica funzione che parla con l'esterno è l'opzionale "Spiegami" con l'AI — che usa una tua chiave, se scegli di attivarla.

Rallenta la rete?

No, in modo percepibile: il verdetto su ogni nuova connessione è una ricerca in memoria (regole, domini, lista tracker) che si misura in microsecondi, fatta una volta sola all'apertura del flusso — non su ogni pacchetto.