IOC 목록을 STIX 2.1, MISP JSON, CSV, Suricata 규칙 또는 YARA 뼈대로 바꿉니다.
신규
URL 디팽 도구 및 IOC 추출기
로컬에서 실행
도구 자체는 영어로 되어 있지만, 이 페이지에서는 귀하의 언어로 설명해 드립니다.
URL 디팽 도구 및 IOC 추출기을(를) 사용하세요
기능
IOC 추출기 탭에서 URL, IP 주소 및 이메일 주소의 위험한 부분을 제거하여 실수로 클릭하는 일이 없도록 공유하거나, 다시 위험한 부분을 복원하거나, 텍스트 블록에서 http(s) 및 ftp 링크, IPv4 주소, 이메일을 추출할 수 있습니다.
이 서비스는 전적으로 브라우저에서 실행되며, 사용자가 입력한 내용은 전혀 업로드되지 않습니다.
URL 디팽 도구 및 IOC 추출기 사용 방법
- 탭 선택. 이미 가지고 있는 개별 항목에는 Defang & Refang을 쓰세요. 이메일, 채팅, 로그처럼 긴 텍스트에서 항목을 뽑아낼 때는 IOC Extractor를 쓰세요.
- 입력 붙여 넣기. Defang & Refang에는 URL, IP 주소, 이메일 주소를 한 줄에 하나씩 붙여 넣습니다. IOC Extractor에는 텍스트 전체를 붙여 넣습니다.
- 디팽 또는 리팽. Defang을 누르면 텍스트를 클릭할 수 없게 만들고, Refang을 누르면 디팽된 항목을 일반 형태로 되돌립니다. Copy는 출력을 복사합니다.
- 추출과 검토. IOC Extractor에서 Extract & Defang IOCs를 누릅니다. URL, IP 주소, 이메일이 세 그룹으로 나타나며, 각 항목은 디팽되어 선택된 상태입니다. 잘못 잡힌 항목은 선택을 해제하세요.
- 복사하거나 넘기기. Copy Selected IOCs는 선택된 항목을 한 줄에 하나씩 복사합니다. Send to…는 Defang & Refang 출력을 IOC Converter, Blocklist Converter 또는 Abuse Report Generator로 넘깁니다.
예시
한 줄에 하나씩 IOC 3개
https://login.example.com/verify?id=42
203.0.113.7
support@example.nethxxps://login[.]example[.]com/verify?id=42
203[.]0[.]113[.]7
support[at]example[.]netDefang은 hxxps://login[.]example[.]com/verify?id=42, 203[.]0[.]113[.]7, support[at]example[.]net을 각각 다른 줄로 반환하며, Refang은 이를 원래대로 되돌립니다.
검증 대상
| 신호 | 그 의미는 무엇인가 |
|---|---|
| hxxp://, hxxps://, fxp:// | 채팅 앱과 메일 클라이언트가 텍스트를 실제 링크로 바꾸지 않도록 스킴을 대체합니다. |
| 모든 점을 [.]로 | 호스트, 경로, 파일 이름의 점이 모두 바뀌므로 login.php는 login[.]php가 됩니다. Refang이 이를 복원합니다. |
| 모든 @를 [at]으로 | 이메일 주소와 URL 안의 모든 @에 적용됩니다. Refang은 [at]과 (at)을 받아들입니다. |
| 그 밖의 데팡 스타일 | Refang은 [@], (at), (.), {.}, [dot], (dot) 및 [:]도 지원하므로, 다른 도구로 처리된 텍스트도 한 번의 단계로 다시 변환할 수 있습니다. |
| 두 번 디팽 | 이미 뾰족한 부분이 제거된 부품은 그대로 유지되므로, 두 번 제거해도 아무런 변화가 없습니다. |
| Extracted URLs (n) | http://, https://, ftp://로 시작해 공백, 괄호, 따옴표까지 이어지는 텍스트입니다. 문장 끝의 마침표나 쉼표가 붙어 남으므로 각 URL의 끝을 확인하세요. |
| Extracted IP Addresses (n) | 1~3자리 숫자 네 묶음이면 무엇이든 해당합니다. 버전 번호와 255를 넘는 값도 일치하며, URL 안의 IP도 여기에 다시 나열됩니다. |
| Extracted Emails (n) | 점과 두 글자 이상의 영문자로 끝나는 주소입니다. 각 그룹은 항목마다 한 번씩만 나열합니다. |
| No IOCs (URLs, IPs, or Emails) found in the text. | 일치하는 것이 없습니다. example.org 같은 단독 도메인과 이미 디팽된 링크는 추출되지 않습니다. |
더 많은 예시
IP 주소만 있는 로그인 페이지
http://198.51.100.23/admin/login.phphxxp://198[.]51[.]100[.]23/admin/login[.]php
두 가지 형태 리팽
hxxps://wallet-verify[.]example/claim support(at)example(.)orghttps://wallet-verify.example/claim support@example.org
택배 SMS에서 추출
Your parcel is on hold. Pay the fee at https://parcel-fee.example/pay?ref=88. Questions: help@parcel-fee.example. Server 203.0.113.45, see example.org/track, build 10.2.3.4.URLs (1): 마침표가 붙은 hxxps://parcel-fee[.]example/pay?ref=88[.]. IP Addresses (2): 203[.]0[.]113[.]45와 10[.]2[.]3[.]4. Emails (1): help[at]parcel-fee[.]example. example.org/track은 찾지 못합니다.
자주 묻는 질문
Defang은 정확히 무엇을 바꾸나요?
http://, https:// 및 ftp://는 hxxp://, hxxps:// 및 fxp://로 변환되며, 경로와 파일 이름에 포함된 점을 포함하여 모든 점은 [.]로, 모든 @는 [at]로 변환됩니다. 이미 무해화 처리된 부분은 그대로 유지되므로, 두 번 무해화 처리해도 변경되는 것은 없습니다. Refang은 이 과정을 역으로 수행하며, [@], (at), (.), {.}, [dot], (dot) 및 [:]도 허용합니다.
IOC Extractor는 무엇을 찾고 무엇을 놓치나요?
http://, https://, ftp://로 시작하는 링크, IPv4처럼 보이는 숫자, 이메일 주소를 찾습니다. 스킴 없는 단독 도메인과 이미 디팽된 링크는 추출하지 않고, IP 패턴은 1.2.3.4 같은 버전 문자열에도 일치하며, 끝의 문장 부호가 URL에 붙을 수 있으므로 복사하기 전에 목록을 검토하세요.
제 텍스트가 어딘가로 전송되나요?
아니요. 디팽, 리팽, 추출은 브라우저에서 하는 텍스트 치환이며, 아무것도 업로드되지 않고 어떤 링크도 열리지 않습니다.
디팽된 링크는 열어도 안전해지나요?
아니요. 디팽은 텍스트가 보이는 방식만 바꿉니다. 리팽하면 링크는 같은 페이지로 가므로, 격리된 브라우저나 스캐너에서만 여세요.
보내기 전에 언제 리팽해야 하나요?
채팅, 티켓, 게시물처럼 사람이 읽을 텍스트는 디팽하세요. 일반 URL을 기대하는 양식, 스캐너, 차단 목록에 붙여 넣을 때는 리팽하세요.
IPv6 주소도 처리하나요?
일부만 처리합니다. 추출기는 IPv4 주소만 찾습니다. Defang은 URL 안의 IPv6 주소만 바꾸며, 이때 스킴이 hxxp나 hxxps가 되고 콜론은 그대로 남습니다.
다른 PhishDestroy 도구는 왜 다르게 디팽하나요?
Archive Link Builder와 같은 도구는 문자나 숫자 사이의 점만 바꾸거나 @를 [@]로 표기합니다. 이 도구는 모든 점을 바꾸고 [at]으로 표기합니다. Refang은 두 가지 형식을 모두 허용하므로, 두 도구 중 어느 쪽에서 생성된 링크든 다시 변환할 수 있습니다.