Przekształć listę identyfikatorów IOC w format STIX 2.1, MISP JSON, CSV, reguły Suricata lub szkielet YARA.
Nowe
Narzędzie do neutralizacji zagrożeń w adresach URL i ekstrakcji wskaźników zagrożenia (IOC)
Działa lokalnie
Samo narzędzie jest w języku angielskim; na tej stronie znajdziesz wyjaśnienia w Twoim języku.
Użyj Narzędzie do neutralizacji zagrożeń w adresach URL i ekstrakcji wskaźników zagrożenia (IOC)
Jak to działa
Możesz usunąć elementy aktywne z adresów URL, adresów IP i adresów e-mail, aby można je było udostępniać bez ryzyka przypadkowego kliknięcia, przywrócić te elementy lub wyodrębnić linki http(s) i ftp, adresy IPv4 oraz adresy e-mail z fragmentu tekstu w zakładce „IOC Extractor”.
Działa całkowicie w przeglądarce: żadne wprowadzone dane nie są przesyłane.
Jak korzystać z Narzędzie do neutralizacji zagrożeń w adresach URL i ekstrakcji wskaźników zagrożenia (IOC)
- Wybierz zakładkę. Użyj funkcji „Defang” i „Refang” w przypadku pojedynczych elementów, które już posiadasz. Użyj narzędzia „IOC Extractor”, aby wyodrębnić elementy z dłuższego tekstu, takiego jak wiadomość e-mail, rozmowa na czacie lub dziennik.
- Wklej dane wejściowe. W narzędziu „Defang & Refang” wklej adresy URL, adresy IP lub adresy e-mail – po jednym w każdym wierszu. W narzędziu „IOC Extractor” wklej cały tekst.
- Usunięcie kłów lub ponowne założenie kłów. Naciśnij przycisk „Defang”, aby tekst nie dało się kliknąć, lub „Refang”, aby przywrócić normalny stan elementu, z którego usunięto możliwość kliknięcia. Przycisk „Copy” kopiuje wynik.
- Wyciąg i przegląd. W programie IOC Extractor naciśnij przycisk „Extract & Defang IOCs”. Adresy URL, adresy IP i adresy e-mail pojawiają się w trzech grupach; każda pozycja jest oczyszczona z potencjalnych zagrożeń i zaznaczona; odznacz fałszywe trafienia.
- Skopiuj lub przekaż dalej. Opcja „Kopiuj wybrane IOC” kopiuje zaznaczone pozycje, po jednej w każdym wierszu. Opcja „Wyślij do…” przekazuje dane wyjściowe funkcji Defang & Refang do programu IOC Converter, Blocklist Converter lub Abuse Report Generator.
Przykład
Trzy kody IOC, po jednym w każdym wierszu
https://login.example.com/verify?id=42
203.0.113.7
support@example.nethxxps://login[.]example[.]com/verify?id=42
203[.]0[.]113[.]7
support[at]example[.]netDefang zwraca adresy hxxps://login[.]example[.]com/verify?id=42, 203[.]0[.]113[.]7 oraz support[at]example[.]net w osobnych wierszach; Refang odrzuca je.
Co jest sprawdzane
| Sygnał | Co to oznacza |
|---|---|
| hxxp://, hxxps://, fxp:// | Schemat został zmieniony, aby aplikacje do czatu i klienci pocztowi nie przekształcali tekstu w aktywny link. |
| [.] dla każdej kropki | Kropki w nazwie serwera, ścieżce i nazwach plików ulegają zmianie, więc login.php staje się login[.]php. Refang przywraca je do pierwotnego stanu. |
| [at] zamiast każdego znaku @ | Dotyczy adresów e-mail oraz znaków @ występujących w adresach URL. Refang akceptuje znaki [at] i (at). |
| Inne style defangu | Refang akceptuje również znaki [@], (at), (.), {.}, [dot], (dot) oraz [:], dzięki czemu tekst przetworzony przez inne narzędzia można przywrócić do pierwotnej postaci w jednym kroku. |
| Podwójne usunięcie kłów | Części, z których już usunięto ząbki, pozostają bez zmian, więc dwukrotne usunięcie ząbków nic nie zmienia. |
| Wyodrębnione adresy URL (n) | Tekst zaczynający się od http://, https:// lub ftp://, aż do spacji, nawiasu lub cudzysłowu. Kropka lub przecinek na końcu zdania pozostają w adresie, dlatego należy sprawdzić koniec każdego adresu URL. |
| Wyodrębnione adresy IP (n) | Dowolne cztery grupy składające się z 1 do 3 cyfr. Dopuszczalne są również numery wersji i wartości powyżej 255; w tym miejscu ponownie wymieniono adres IP zawarty w adresie URL. |
| Wyodrębnione wiadomości e-mail (n) | Adresy kończące się kropką i co najmniej dwiema literami. W każdej grupie każdy element występuje tylko raz. |
| W tekście nie znaleziono żadnych elementów IOC (adresów URL, adresów IP ani adresów e-mail). | Nie znaleziono żadnych dopasowań. Nie są wyodrębniane same nazwy domen, takie jak example.org, ani linki, które zostały już unieszkodliwione. |
Więcej przykładów
Strona logowania z samym adresem IP
http://198.51.100.23/admin/login.phphxxp://198[.]51[.]100[.]23/admin/login[.]php
Dwa style refangu
hxxps://wallet-verify[.]example/claim support(at)example(.)orghttps://wallet-verify.example/claim support@example.org
Fragment wiadomości SMS dotyczącej przesyłki
Your parcel is on hold. Pay the fee at https://parcel-fee.example/pay?ref=88. Questions: help@parcel-fee.example. Server 203.0.113.45, see example.org/track, build 10.2.3.4.Adresy URL (1): hxxps://parcel-fee[.]example/pay?ref=88[.] z kropką na końcu. Adresy IP (2): 203[.]0[.]113[.]45 oraz 10[.]2[.]3[.]4. Adresy e-mail (1): help[at]parcel-fee[.]example. Adres example.org/track nie istnieje.
Najczęściej zadawane pytania
Co dokładnie zmienia Defang?
http://, https:// i ftp:// zamieniają się na hxxp://, hxxps:// i fxp://, każda kropka zamienia się na [.] a każdy znak @ na [at], w tym kropki w ścieżkach i nazwach plików; części, które zostały już „obezwładnione”, pozostają bez zmian, więc dwukrotne „obezwładnienie” niczego nie zmienia. Funkcja „Refang” odwraca ten proces i akceptuje również [@], (at), (.), {.}, [dot], (dot) oraz [:].
Co wykrywa narzędzie IOC Extractor, a czego nie wykrywa?
Linki zaczynające się od http://, https:// lub ftp://, numery przypominające adresy IPv4 oraz adresy e-mail. Nie są wyodrębniane same domeny bez schematu oraz linki, z których usunięto elementy niebezpieczne; wzorzec IP pasuje również do ciągów znaków w postaci wersji, takich jak 1.2.3.4, a znaki interpunkcyjne na końcu adresu URL mogą pozostać, dlatego przed skopiowaniem należy sprawdzić listę.
Czy moja wiadomość została gdzieś wysłana?
Nie. Usuwanie zębów, ponowne dodawanie zębów i wyrywanie to operacje zastępowania tekstu w przeglądarce; nic nie jest przesyłane, a żaden link nie jest otwierany.
Czy link, z którego usunięto złośliwy kod, można już bezpiecznie otworzyć?
Nie. Usunięcie linku zmienia jedynie wygląd tekstu. Po przywróceniu linku prowadzi on do tej samej strony, dlatego należy go otwierać wyłącznie w odizolowanej przeglądarce lub skanerze.
Kiedy należy ponownie ustawić zęby przed wysłaniem?
Zmodyfikuj adres tak, aby był czytelny dla użytkowników – na czatach, w zgłoszeniach lub postach. Przywróć go do pierwotnej postaci, gdy wklejasz go do formularza, skanera lub listy blokowanych adresów, które wymagają standardowych adresów URL.
Czy obsługuje adresy IPv6?
Tylko częściowo. Narzędzie do wyodrębniania adresów wyszukuje wyłącznie adresy IPv4. Defang zmienia adres IPv6 wyłącznie w adresie URL, gdzie schemat zmienia się na hxxp lub hxxps; dwukropki pozostają bez zmian.
Dlaczego inne narzędzia PhishDestroy działają inaczej?
Narzędzia takie jak Archive Link Builder zastępują jedynie kropki między literami lub cyframi, a znak @ zapisują jako [@]. To narzędzie zastępuje każdą kropkę i zapisuje [at]. Refang akceptuje obie formy, więc linki utworzone za pomocą dowolnego z tych narzędzi są ponownie konwertowane.