Trasforma un elenco di IOC in STIX 2.1, JSON MISP, CSV, regole Suricata o uno scheletro YARA.
Nuovo
Defanger di URL ed estrattore di IOC
Funziona in locale
Lo strumento è in inglese; questa pagina ne fornisce una spiegazione nella tua lingua.
Usa Defanger di URL ed estrattore di IOC
Cosa fa
Rimuovi gli elementi sensibili dagli URL, dagli indirizzi IP e dagli indirizzi e-mail in modo che possano essere condivisi senza clic accidentali, reinserisci tali elementi oppure estrai i link http(s) e ftp, gli indirizzi IPv4 e gli indirizzi e-mail da un blocco di testo nella scheda “IOC Extractor”.
Funziona interamente nel browser: nulla di ciò che inserisci viene caricato online.
Come utilizzare Defanger di URL ed estrattore di IOC
- Scegli la scheda. Usa Defang & Refang per singoli elementi che hai già. Usa IOC Extractor per estrarre elementi da un testo più lungo, come un'e-mail, una chat o un log.
- Incolla l'input. In Defang & Refang, incolla URL, indirizzi IP o indirizzi e-mail, uno per riga. In IOC Extractor, incolla l'intero testo.
- Defang o refang. Premi Defang per rendere il testo non cliccabile, oppure Refang per riportare un elemento defanged alla forma normale. Copy prende l'output.
- Estrai e controlla. In IOC Extractor premi Extract & Defang IOCs. URL, indirizzi IP ed e-mail compaiono in tre gruppi, ogni elemento in forma defanged e selezionato; deseleziona le corrispondenze errate.
- Copia o passa ad altri strumenti. Copy Selected IOCs copia gli elementi selezionati, uno per riga. Send to… passa l'output di Defang & Refang a IOC Converter, Blocklist Converter o Abuse Report Generator.
Esempio
Tre IOC, uno per riga
https://login.example.com/verify?id=42
203.0.113.7
support@example.nethxxps://login[.]example[.]com/verify?id=42
203[.]0[.]113[.]7
support[at]example[.]netDefang restituisce hxxps://login[.]example[.]com/verify?id=42, 203[.]0[.]113[.]7 e support[at]example[.]net su righe separate; Refang li riporta alla forma originale.
Cosa verifica
| Segnale | Cosa significa |
|---|---|
| hxxp://, hxxps://, fxp:// | Lo schema viene sostituito in modo che le app di chat e i client di posta non trasformino il testo in un link attivo. |
| [.] per ogni punto | Cambiano tutti i punti nell'host, nel percorso e nei nomi di file, quindi login.php diventa login[.]php. Refang li ripristina. |
| [at] per ogni @ | Vale per gli indirizzi e-mail e per qualsiasi @ all'interno di un URL. Refang accetta [at] e (at). |
| Altri stili di defang | Refang accetta anche [@], (at), (.), {.}, [dot], (dot) e [:], quindi il testo modificato da altri strumenti può essere riconvertito in un solo passaggio. |
| Defang ripetuto | I pezzi già smussati rimangono così come sono, quindi smussarli una seconda volta non cambia nulla. |
| Extracted URLs (n) | Testo che inizia con http://, https:// o ftp://, fino a uno spazio, una parentesi o una virgoletta. Un punto o una virgola a fine frase resta attaccato, quindi controlla la fine di ogni URL. |
| Extracted IP Addresses (n) | Qualsiasi sequenza di quattro gruppi da 1 a 3 cifre. Corrispondono anche numeri di versione e valori superiori a 255, e un IP all'interno di un URL viene elencato di nuovo qui. |
| Extracted Emails (n) | Indirizzi che terminano con un punto e almeno due lettere. Ogni gruppo elenca ogni elemento una sola volta. |
| No IOCs (URLs, IPs, or Emails) found in the text. | Nessuna corrispondenza. I domini semplici come example.org e i link già defanged non vengono estratti. |
Altri esempi
Pagina di accesso su un IP
http://198.51.100.23/admin/login.phphxxp://198[.]51[.]100[.]23/admin/login[.]php
Refang di due stili
hxxps://wallet-verify[.]example/claim support(at)example(.)orghttps://wallet-verify.example/claim support@example.org
Estrazione da un SMS su un pacco
Your parcel is on hold. Pay the fee at https://parcel-fee.example/pay?ref=88. Questions: help@parcel-fee.example. Server 203.0.113.45, see example.org/track, build 10.2.3.4.URLs (1): hxxps://parcel-fee[.]example/pay?ref=88[.] con il punto finale attaccato. IP Addresses (2): 203[.]0[.]113[.]45 e 10[.]2[.]3[.]4. Emails (1): help[at]parcel-fee[.]example. example.org/track non viene trovato.
Domande frequenti
Cosa cambia esattamente Defang?
http://, https:// e ftp:// diventano hxxp://, hxxps:// e fxp://, ogni punto diventa [.] e ogni @ diventa [at], compresi i punti presenti nei percorsi e nei nomi dei file; le parti già "defangate" rimangono invariate, quindi eseguire il defanging due volte non cambia nulla. Refang inverte questa operazione e accetta anche [@], (at), (.), {.}, [dot], (dot) e [:].
Cosa trova IOC Extractor, e cosa gli sfugge?
Link che iniziano con http://, https:// o ftp://, numeri che sembrano IPv4 e indirizzi e-mail. I domini senza schema e i link già in forma defanged non vengono estratti, lo schema degli IP corrisponde anche a stringhe di versione come 1.2.3.4, e la punteggiatura finale può restare attaccata a un URL, quindi controlla l'elenco prima di copiarlo.
Il mio testo viene inviato da qualche parte?
No. Defang, refang ed estrazione sono sostituzioni di testo nel tuo browser; nulla viene caricato e nessun link viene aperto.
Un link defanged diventa sicuro da aprire?
No. Il defang cambia solo l'aspetto del testo. Una volta ripristinato, il link porta alla stessa pagina, quindi aprilo solo in un browser isolato o in uno scanner.
Quando dovrei fare il refang prima di inviare?
Usa il defang per il testo che leggeranno persone, in chat, ticket o post. Fai il refang quando incolli in un modulo, uno scanner o una blocklist che si aspetta URL normali.
Gestisce gli indirizzi IPv6?
Solo in parte. L'estrattore cerca solo indirizzi IPv4. Defang modifica un indirizzo IPv6 solo all'interno di un URL, dove lo schema diventa hxxp o hxxps; i due punti restano invariati.
Perché altri strumenti di PhishDestroy applicano il defang in modo diverso?
Strumenti come Archive Link Builder sostituiscono solo i punti tra lettere o cifre e scrivono @ come [@]. Questo strumento sostituisce tutti i punti e scrive [at]. Refang accetta entrambe le forme, quindi i link generati da entrambi gli strumenti vengono riconvertiti.