IOCのリストを、STIX 2.1、MISP JSON、CSV、Suricataルール、YARAのひな形に変換します。
新着
URLデファング＆IOC抽出
ローカルで動作
ツール自体は英語ですが、このページではお客様の言語でその使い方を説明しています。
URLデファング＆IOC抽出 を使用してください
機能の説明
URL、IPアドレス、メールアドレスを無害化して、誤ってクリックされることなく共有できるようにしたり、再有効化したり、あるいは「IOC Extractor」タブ内のテキストブロックからhttp(s)やftpリンク、IPv4アドレス、メールアドレスを抽出したりできます。
すべてブラウザ上で動作します。入力した内容は一切アップロードされません。
URLデファング＆IOC抽出 の使い方
- タブを選ぶ. 手元にある個別の項目にはDefang & Refangを使います。メール、チャット、ログなどの長いテキストから項目を取り出すには、IOC Extractorを使います。
- 入力を貼り付ける. Defang & Refangでは、URL、IPアドレス、メールアドレスを1行に1つずつ貼り付けます。IOC Extractorでは、テキスト全体を貼り付けます。
- デファングまたはリファングする. Defangを押すとテキストがクリックできない形になり、Refangを押すとデファングされた項目が通常の形に戻ります。Copyで出力をコピーします。
- 抽出して確認する. IOC ExtractorでExtract & Defang IOCsを押します。URL、IPアドレス、メールアドレスが3つのグループに分けて表示され、各項目はデファングされチェックが入っています。誤って一致したものはチェックを外してください。
- コピーまたは引き渡し. Copy Selected IOCsは、チェックが入った項目を1行に1つずつコピーします。Send to…は、Defang & Refangの出力をIOC Converter、Blocklist Converter、Abuse Report Generatorに渡します。
例
1行に1つずつの3つのIOC
https://login.example.com/verify?id=42
203.0.113.7
support@example.nethxxps://login[.]example[.]com/verify?id=42
203[.]0[.]113[.]7
support[at]example[.]netDefangを押すと、hxxps://login[.]example[.]com/verify?id=42、203[.]0[.]113[.]7、support[at]example[.]netがそれぞれ別の行に返されます。Refangで元に戻ります。
チェック対象
| シグナル | その意味 |
|---|---|
| hxxp://、hxxps://、fxp:// | チャットアプリやメールクライアントがテキストを有効なリンクに変えないよう、スキームが置き換えられます。 |
| すべてのドットを[.]に | ホスト、パス、ファイル名のドットがすべて変わるため、login.phpはlogin[.]phpになります。Refangで元に戻ります。 |
| すべての@を[at]に | メールアドレスと、URL内のすべての@に適用されます。Refangは[at]と(at)を受け付けます。 |
| その他のデファングのスタイル | Refangは[@]、(at)、(.)、{.}、[dot]、(dot)、[:]も認識するため、他のツールで改行が削除されたテキストも、たった1ステップで元の状態に戻すことができます。 |
| 2回デファングする | すでにデファング処理済みのパーツはそのままであるため、2回デファング処理を行っても何も変わりません。 |
| Extracted URLs (n) | http://、https://、ftp://で始まり、空白、かっこ、引用符までのテキストです。文末のピリオドやカンマが付いたままになるため、各URLの末尾を確認してください。 |
| Extracted IP Addresses (n) | 1〜3桁の数字の4つのグループすべてです。バージョン番号や255を超える値も一致し、URL内のIPもここに再度一覧表示されます。 |
| Extracted Emails (n) | ドットと2文字以上の英字で終わるアドレスです。各グループでは、それぞれの項目は1回だけ一覧表示されます。 |
| No IOCs (URLs, IPs, or Emails) found in the text. | 何も一致しませんでした。example.orgのようなドメインだけのものや、すでにデファングされたリンクは抽出されません。 |
その他の例
IPアドレスだけのホストのログインページ
http://198.51.100.23/admin/login.phphxxp://198[.]51[.]100[.]23/admin/login[.]php
2つの形式をリファングする
hxxps://wallet-verify[.]example/claim support(at)example(.)orghttps://wallet-verify.example/claim support@example.org
荷物のSMSから抽出する
Your parcel is on hold. Pay the fee at https://parcel-fee.example/pay?ref=88. Questions: help@parcel-fee.example. Server 203.0.113.45, see example.org/track, build 10.2.3.4.URLs (1)：hxxps://parcel-fee[.]example/pay?ref=88[.]（ピリオドが付いたまま）。IP Addresses (2)：203[.]0[.]113[.]45と10[.]2[.]3[.]4。Emails (1)：help[at]parcel-fee[.]example。example.org/trackは見つかりません。
よくある質問
Defangは具体的に何を変更しますか？
http://、https://、ftp:// はそれぞれ hxxp://、hxxps://、fxp:// となり、 パスやファイル名に含まれるドットを含め、すべてのドットが [.] に、すべての @ が [at] に変換されます。すでに無害化されている部分はそのまま残されるため、2回無害化を行っても変更は生じません。 Refangはこの処理を元に戻し、[@]、(at)、(.)、{.}、[dot]、(dot)、[:]も受け付けます。
IOC Extractorは何を見つけ、何を見逃しますか？
http://、https://、ftp://で始まるリンク、IPv4のように見える数値、メールアドレスを見つけます。スキームのないドメインだけのものや、すでにデファングされたリンクは抽出されません。IPのパターンは1.2.3.4のようなバージョン文字列にも一致し、末尾の句読点がURLに付いたままになることがあるため、コピーする前に一覧を確認してください。
テキストはどこかへ送信されますか？
いいえ。デファング、リファング、抽出はブラウザ内でのテキスト置換であり、何もアップロードされず、リンクが開かれることもありません。
デファングしたリンクは開いても安全になりますか？
いいえ。デファングはテキストの見た目を変えるだけです。リファングすればリンクは同じページにつながるため、開くのは隔離されたブラウザやスキャナーの中だけにしてください。
送信する前にリファングすべきなのはどのような場合ですか？
チャット、チケット、投稿など、人が読むテキストはデファングしてください。通常のURLを想定しているフォーム、スキャナー、ブロックリストに貼り付ける場合はリファングしてください。
IPv6アドレスに対応していますか？
一部のみです。抽出機能が探すのはIPv4アドレスだけです。DefangがIPv6アドレスを変更するのはURL内にある場合だけで、スキームがhxxpやhxxpsになり、コロンはそのまま残ります。
他のPhishDestroyのツールとデファングの方法が異なるのはなぜですか？
Archive Link Builder などのツールは、文字や数字の間のドットのみを置換し、@ を [@] と表記します。このツールはすべてのドットを置換し、[at] と表記します。Refang はどちらの形式も受け入れるため、どちらのツールから生成されたリンクも元通りに変換されます。