Convertiți o listă de IOC-uri în format STIX 2.1, MISP JSON, CSV, reguli Suricata sau un șablon YARA.
Nou
URL Defanger și IOC Extractor
Rulează local
Instrumentul în sine este în limba engleză; această pagină îl explică în limba ta.
Folosește URL Defanger și IOC Extractor
Ce face
Eliminați caracterele speciale din adresele URL, adresele IP și adresele de e-mail, astfel încât acestea să poată fi partajate fără a risca clicuri accidentale, reintroduceți-le sau extrageți linkurile http(s) și ftp, adresele IPv4 și adresele de e-mail dintr-un bloc de text din fila „IOC Extractor”.
Aplicația funcționează în întregime în browserul tău: nimic din ce introduci nu este încărcat pe server.
Cum se utilizează URL Defanger și IOC Extractor
- Alegeți fila. Folosiți „Defang & Refang” pentru elementele individuale pe care le aveți deja. Folosiți „IOC Extractor” pentru a extrage elemente dintr-un text mai lung, cum ar fi un e-mail, o conversație pe chat sau un jurnal.
- Lipiți textul introdus. În Defang & Refang, introduceți adresele URL, adresele IP sau adresele de e-mail, câte una pe rând. În IOC Extractor, introduceți întregul text.
- A îndepărta colții sau a-i repune. Apăsați „Defang” pentru a face textul inactiv, sau „Refang” pentru a transforma un element „defanged” înapoi într-unul normal. Comanda „Copy” copiază rezultatul.
- Extras și analiză. În programul IOC Extractor, apăsați butonul „Extract & Defang IOCs”. Adresele URL, adresele IP și adresele de e-mail apar împărțite în trei grupe, fiecare element fiind „defanged” și bifat; debifați potrivirile false.
- Copiați sau transmiteți mai departe. Opțiunea „Copiere IOC-uri selectate” copiază elementele bifate, câte unul pe rând. Opțiunea „Trimite către…” transmite rezultatul operațiunilor „Defang” și „Refang” către „IOC Converter”, „Blocklist Converter” sau „Abuse Report Generator”.
Exemplu
Trei IOC-uri, câte unul pe linie
https://login.example.com/verify?id=42
203.0.113.7
support@example.nethxxps://login[.]example[.]com/verify?id=42
203[.]0[.]113[.]7
support[at]example[.]netDefang afișează hxxps://login[.]example[.]com/verify?id=42, 203[.]0[.]113[.]7 și support[at]example[.]net pe rânduri separate; Refang le afișează din nou.
Ce verifică
| Semnal | Ce înseamnă asta |
|---|---|
| hxxp://, hxxps://, fxp:// | Schema este modificată astfel încât aplicațiile de chat și clienții de e-mail să nu transforme textul într-un link activ. |
| [.] pentru fiecare punct | Punctele din numele serverului, ale căii de acces și ale fișierelor se schimbă, astfel încât login.php devine login[.]php. Refang le restabilește. |
| [at] în locul fiecărui @ | Se aplică adreselor de e-mail și oricărui simbol @ dintr-o adresă URL. Refang acceptă [at] și (at). |
| Alte stiluri de defang | Refang acceptă, de asemenea, [@], (at), (.), {.}, [dot], (dot) și [:], astfel încât textul „neutralizat” de alte instrumente se poate reconverti într-un singur pas. |
| Îndepărtarea dinților de două ori | Piesele care au fost deja decantate rămân așa cum sunt, așa că o a doua decantare nu schimbă nimic. |
| Adresele URL extrase (n) | Textul care începe cu http://, https:// sau ftp://, până la un spațiu, o paranteză sau un ghilimel. Punctul sau virgula de la sfârșitul unei propoziții rămâne atașată, așa că verificați sfârșitul fiecărei adrese URL. |
| Adrese IP extrase (n) | Orice patru grupuri de 1 până la 3 cifre. Se potrivesc și numerele de versiune, precum și valorile mai mari de 255, iar o adresă IP din cadrul unei adrese URL este menționată din nou aici. |
| E-mailuri extrase (n) | Adrese care se termină cu un punct și cel puțin două litere. Fiecare grup conține fiecare element o singură dată. |
| Nu s-au găsit elemente IOC (URL-uri, adrese IP sau adrese de e-mail) în text. | Nu s-a găsit nicio potrivire. Domeniile simple, precum example.org, și linkurile care au fost deja neutralizate nu sunt extrase. |
Alte exemple
Pagina de autentificare pe o adresă IP simplă
http://198.51.100.23/admin/login.phphxxp://198[.]51[.]100[.]23/admin/login[.]php
Refang în două variante
hxxps://wallet-verify[.]example/claim support(at)example(.)orghttps://wallet-verify.example/claim support@example.org
Extras dintr-un SMS privind un colet
Your parcel is on hold. Pay the fee at https://parcel-fee.example/pay?ref=88. Questions: help@parcel-fee.example. Server 203.0.113.45, see example.org/track, build 10.2.3.4.Adrese URL (1): hxxps://parcel-fee[.]example/pay?ref=88[.] cu punctul la sfârșit. Adrese IP (2): 203[.]0[.]113[.]45 și 10[.]2[.]3[.]4. Adrese de e-mail (1): help[at]parcel-fee[.]example. example.org/track nu a fost găsită.
Întrebări frecvente
Ce anume schimbă Defang?
http://, https:// și ftp:// devin hxxp://, hxxps:// și fxp://, fiecare punct devine [.] și fiecare @ devine [at], inclusiv punctele din căi și numele de fișiere; părțile care au fost deja „defangate” rămân așa cum sunt, astfel încât „defangarea” de două ori nu schimbă nimic. Refang inversează acest proces și acceptă, de asemenea, [@], (at), (.), {.}, [dot], (dot) și [:].
Ce identifică IOC Extractor și ce îi scapă?
Linkurile care încep cu http://, https:// sau ftp://, numerele care par a fi adrese IPv4 și adresele de e-mail. Domeniile simple, fără schemă, și linkurile deja inofensive nu sunt extrase; modelul IP se potrivește și cu șiruri de versiuni precum 1.2.3.4, iar semnele de punctuație de la sfârșitul URL-ului pot rămâne atașate, așa că verificați lista înainte de a copia.
Textul meu este trimis undeva?
Nu. „Defanging”, „refanging” și „extraction” sunt înlocuiri de text în browserul tău; nu se încarcă nimic și nu se deschide niciun link.
O dată ce un link a fost dezactivat, poate fi deschis în siguranță?
Nu. Eliminarea link-ului modifică doar aspectul textului. Odată ce link-ul este repus, acesta duce la aceeași pagină, așa că deschide-l doar într-un browser izolat sau într-un program de scanare.
Când ar trebui să refac dinții înainte de expediere?
Simplificați textul pe care oamenii îl vor citi, în chat-uri, tichete sau postări. Reintroduceți-l atunci când îl inserați într-un formular, un scaner sau o listă de blocare care acceptă doar adrese URL normale.
Suportă adresele IPv6?
Doar parțial. Extractorul caută numai adrese IPv4. Defang modifică o adresă IPv6 doar în cadrul unei adrese URL, unde schema devine hxxp sau hxxps; două puncte rămân neschimbate.
De ce celelalte instrumente PhishDestroy dezactivează protecția în mod diferit?
Instrumentele precum Archive Link Builder înlocuiesc doar punctele dintre litere sau cifre și scriu simbolul @ ca [@]. Acest instrument înlocuiește fiecare punct și scrie [at]. Refang acceptă ambele forme, astfel încât linkurile generate de oricare dintre aceste instrumente pot fi convertite înapoi.