המר רשימת IOCs לפורמט STIX 2.1, MISP JSON, CSV, כללי Suricata או שלד YARA.
חדש
מנטרל כתובות URL ומחלץ IOC
פועל מקומית
הכלי עצמו הוא באנגלית; דף זה מסביר את אופן השימוש בו בשפתך.
השתמש ב-מנטרל כתובות URL ומחלץ IOC
מה זה עושה
הסר את הסימנים המזהים מכתובות URL, כתובות IP וכתובות דוא"ל, כדי שניתן יהיה לשתף אותן מבלי ללחוץ עליהן בטעות; הוסף מחדש את הסימנים המזהים, או חלץ את קישורי ה-http(s) וה-ftp, כתובות IPv4 וכתובות דוא"ל מתוך קטע טקסט בלשונית "IOC Extractor".
היא פועלת כולה בדפדפן שלך: שום דבר שאתה מזין לא מועלה.
כיצד להשתמש ב-מנטרל כתובות URL ומחלץ IOC
- בחר את הכרטיסייה. השתמש ב-Defang & Refang עבור פריטים בודדים שכבר יש ברשותך. השתמש ב-IOC Extractor כדי לחלץ פריטים מתוך טקסט ארוך יותר, כגון דוא"ל, צ'אט או יומן.
- הדבק את הטקסט. ב-Defang & Refang, הדביקו כתובות URL, כתובות IP או כתובות דוא"ל, אחת בכל שורה. ב-IOC Extractor, הדביקו את הטקסט במלואו.
- להסיר את הניבים או להחזיר אותם. לחץ על "Defang" כדי להפוך את הטקסט לבלתי ניתן ללחיצה, או על "Refang" כדי להחזיר פריט שנוטרל למצב רגיל. הפקודה "Copy" מעתיקה את התוצאה.
- תמצית וסקירה. בתוכנת IOC Extractor, לחץ על "Extract & Defang IOCs". כתובות URL, כתובות IP וכתובות דוא"ל מופיעות בשלוש קבוצות, כאשר כל פריט נוטרל ומסומן; הסר את הסימון מהתוצאות השגויות.
- להעתיק או להעביר הלאה. האפשרות "העתק IOC-ים נבחרים" מעתיקה את הפריטים המסומנים, פריט אחד בכל שורה. האפשרות "שלח אל…" מעבירה את הפלט של Defang & Refang לממיר IOC, לממיר רשימת חסימה או למחולל דוחות על שימוש לרעה.
דוגמה
שלושה IOC, אחד לכל שורה
https://login.example.com/verify?id=42
203.0.113.7
support@example.nethxxps://login[.]example[.]com/verify?id=42
203[.]0[.]113[.]7
support[at]example[.]netDefang מחזיר את hxxps://login[.]example[.]com/verify?id=42, 203[.]0[.]113[.]7 ו-support[at]example[.]net בשורות נפרדות; Refang מחזיר אותם.
מה הוא בודק
| אות | מה זה אומר |
|---|---|
| hxxp://, hxxps://, fxp:// | התוכנית הוחלפה כדי שאפליקציות צ'אט ותוכנות דואר אלקטרוני לא יהפכו את הטקסט לקישור פעיל. |
| [.] עבור כל נקודה | הנקודות בשם המארח, בנתיב ובשמות הקבצים משתנות כולן, כך ש-login.php הופך ל-login[.]php. Refang משחזר אותן. |
| [at] עבור כל @ | חל על כתובות דואר אלקטרוני ועל כל תו @ בתוך כתובת URL. Refang מקבל את התווים [at] ו-(at). |
| סגנונות נוספים של "defang" | Refang תומך גם ב-[@], (at), (.), {.}, [dot], (dot) ו-[:], כך שטקסט שעבר ניקוי על ידי כלים אחרים ניתן להמיר בחזרה בצעד אחד. |
| הסרת השיניים פעמיים | חלקים שכבר עברו תהליך הסרת הקוצים נשארים כפי שהם, ולכן הסרת הקוצים פעמיים לא משנה דבר. |
| כתובות URL שחולצו (n) | טקסט המתחיל ב-http://, https:// או ftp://, עד לרווח, סוגר או מרכאות. נקודה או פסיק בסוף המשפט נשארים חלק מהכתובת, לכן יש לבדוק את סוף כל כתובת URL. |
| כתובות IP שחולצו (n) | כל ארבע קבוצות של 1 עד 3 ספרות. מספרי גרסה וערכים מעל 255 תואמים גם הם, וכתובת IP בתוך כתובת URL מופיעה שוב כאן. |
| מיילים שהוצאו (n) | כתובות המסתיימות בנקודה ובשתי אותיות לפחות. בכל קבוצה מופיע כל פריט פעם אחת בלבד. |
| לא נמצאו IOCs (כתובות URL, כתובות IP או כתובות דוא"ל) בטקסט. | לא נמצא שום התאמה. שמות דומיין ריקים כגון example.org וקישורים שכבר הוסרו מהם הקישורים אינם נכללים בתוצאות. |
דוגמאות נוספות
דף כניסה בכתובת IP בלבד
http://198.51.100.23/admin/login.phphxxp://198[.]51[.]100[.]23/admin/login[.]php
שני סגנונות של Refang
hxxps://wallet-verify[.]example/claim support(at)example(.)orghttps://wallet-verify.example/claim support@example.org
קטע מתוך הודעת SMS בנוגע לחבילה
Your parcel is on hold. Pay the fee at https://parcel-fee.example/pay?ref=88. Questions: help@parcel-fee.example. Server 203.0.113.45, see example.org/track, build 10.2.3.4.כתובות URL (1): hxxps://parcel-fee[.]example/pay?ref=88[.] עם הנקודה בסוף. כתובות IP (2): 203[.]0[.]113[.]45 ו-10[.]2[.]3[.]4. כתובות דוא"ל (1): help[at]parcel-fee[.]example. הכתובת example.org/track לא נמצאה.
שאלות נפוצות
מה בדיוק משנה Defang?
http://, https:// ו-ftp:// הופכים ל-hxxp://, hxxps:// ו-fxp://, כל נקודה הופכת ל-[.] וכל @ הופך ל-[at], כולל נקודות בנתיבים ובשמות קבצים; חלקים שכבר עברו הסרת סימני הפרדה נשארים כפי שהם, ולכן הסרת סימני הפרדה פעמיים לא משנה דבר. הפעלת Refang מבטלת את השינוי ומקבלת גם את [@], (at), (.), {.}, [dot], (dot) ו-[:].
מה מוצא ה-IOC Extractor, ומה הוא מפספס?
קישורים המתחילים ב-http://, https:// או ftp://, מספרים הדומים לכתובות IPv4 וכתובות דוא"ל. דומיינים ללא סיומת וקישורים שכבר נוטרלו אינם נכללים ברשימה; תבנית ה-IP תואמת גם למחרוזות גרסה כגון 1.2.3.4, וסימני פיסוק בסוף כתובת ה-URL עשויים להישאר, לכן יש לעיין ברשימה לפני ההעתקה.
האם הטקסט שלי נשלח לאנשהו?
לא. פעולות "Defanging", "refanging" ו-"extraction" הן החלפות טקסט בדפדפן שלך; שום דבר לא מועלה ולא נפתח שום קישור.
האם קישור שנוטרל הופך לבטוח לפתיחה?
לא. הסרת הקישור משנה רק את מראה הטקסט. לאחר החזרת הקישור, הוא מוביל לאותו דף, ולכן יש לפתוח אותו רק בדפדפן מבודד או בסורק.
מתי עליי לבצע "ריפנג" לפני השליחה?
הפוך את הטקסט ל"לא מזיק" כדי שאנשים יוכלו לקרוא אותו בצ'אטים, בכרטיסי תמיכה או בפוסטים. הפוך אותו שוב ל"מזיק" כשאתה מדביק אותו בטופס, בסורק או ברשימת חסימה שמצפים לכתובות URL רגילות.
האם הוא תומך בכתובות IPv6?
רק באופן חלקי. התוכנה מחפשת כתובות IPv4 בלבד. Defang משנה כתובת IPv6 רק בתוך כתובת URL, כאשר הסיומת הופכת ל-hxxp או hxxps; הנקודותיים נשארים כפי שהם.
מדוע כלים אחרים של PhishDestroy מנטרלים את האיום בצורה שונה?
כלים כגון Archive Link Builder מחליפים רק נקודות בין אותיות או ספרות וכותבים את הסימן @ כ-[@]. כלי זה מחליף כל נקודה וכותב [at]. Refang מקבל את שתי הצורות, ולכן קישורים משני הכלים מומרים בחזרה.