Превращайте список IOC в STIX 2.1, MISP JSON, CSV, правила Suricata или заготовку YARA.
Новый
Обезвреживание URL и извлечение IOC
Работает локально
Сам инструмент доступен на английском языке; на этой странице приведено его описание на вашем языке.
Используйте Обезвреживание URL и извлечение IOC
Для чего это нужно
Удалите из URL-адресов, IP-адресов и адресов электронной почты опасные элементы, чтобы их можно было передавать без риска случайных кликов, а затем восстановите их или извлеките ссылки http(s) и ftp, IPv4-адреса и адреса электронной почты из фрагмента текста на вкладке «IOC Extractor».
Приложение работает полностью в браузере: никакие введенные вами данные не передаются на сервер.
Как использовать Обезвреживание URL и извлечение IOC
- Выберите вкладку. Используйте Defang & Refang для отдельных элементов, которые у вас уже есть. Используйте IOC Extractor, чтобы извлечь элементы из более длинного текста, например письма, чата или журнала.
- Вставьте ввод. На вкладке Defang & Refang вставьте URL, IP-адреса или адреса электронной почты по одному на строку. На вкладке IOC Extractor вставьте весь текст.
- Обезвредьте или восстановите. Нажмите Defang, чтобы сделать текст некликабельным, или Refang, чтобы вернуть обезвреженный элемент в обычный вид. Copy копирует результат.
- Извлеките и проверьте. На вкладке IOC Extractor нажмите Extract & Defang IOCs. URL, IP-адреса и адреса почты появятся в трёх группах, каждый элемент обезврежен и отмечен флажком; снимите флажки с ложных совпадений.
- Скопируйте или передайте дальше. Copy Selected IOCs копирует отмеченные элементы по одному на строку. Send to… передаёт результат Defang & Refang в IOC Converter, Blocklist Converter или Abuse Report Generator.
Пример
Три IOC, по одному на строку
https://login.example.com/verify?id=42
203.0.113.7
support@example.nethxxps://login[.]example[.]com/verify?id=42
203[.]0[.]113[.]7
support[at]example[.]netDefang (обезвредить) возвращает hxxps://login[.]example[.]com/verify?id=42, 203[.]0[.]113[.]7 и support[at]example[.]net на отдельных строках; Refang (восстановить) превращает их обратно.
Что проверяется
| Сигнал | Что это означает |
|---|---|
| hxxp://, hxxps://, fxp:// | Схема заменяется, чтобы чаты и почтовые программы не превращали текст в активную ссылку. |
| [.] вместо каждой точки | Меняются точки в хосте, пути и именах файлов, поэтому login.php становится login[.]php. Refang их восстанавливает. |
| [at] вместо каждого @ | Касается адресов электронной почты и любого @ внутри URL. Refang принимает [at] и (at). |
| Другие стили обезвреживания | Refang также поддерживает символы [@], (at), (.), {.}, [dot], (dot) и [:], поэтому текст, обработанный другими инструментами, можно преобразовать обратно за один шаг. |
| Повторное обезвреживание | Детали, с которых уже удалили заусенцы, остаются в прежнем виде, поэтому повторное удаление заусенцев ничего не меняет. |
| Extracted URLs (n) | Текст, начинающийся с http://, https:// или ftp://, до пробела, скобки или кавычки. Точка или запятая в конце предложения остаётся прикреплённой, поэтому проверяйте конец каждого URL. |
| Extracted IP Addresses (n) | Любые четыре группы от 1 до 3 цифр. Номера версий и значения больше 255 тоже совпадают, а IP внутри URL выводится здесь ещё раз. |
| Extracted Emails (n) | Адреса, оканчивающиеся точкой и как минимум двумя буквами. В каждой группе каждый элемент указан только один раз. |
| No IOCs (URLs, IPs, or Emails) found in the text. (IOC в тексте не найдены) | Ничего не совпало. Голые домены вроде example.org и уже обезвреженные ссылки не извлекаются. |
Еще примеры
Страница входа на голом IP
http://198.51.100.23/admin/login.phphxxp://198[.]51[.]100[.]23/admin/login[.]php
Восстановление двух вариантов записи
hxxps://wallet-verify[.]example/claim support(at)example(.)orghttps://wallet-verify.example/claim support@example.org
Извлечение из SMS о посылке
Your parcel is on hold. Pay the fee at https://parcel-fee.example/pay?ref=88. Questions: help@parcel-fee.example. Server 203.0.113.45, see example.org/track, build 10.2.3.4.URLs (1): hxxps://parcel-fee[.]example/pay?ref=88[.] с прикреплённой точкой. IP Addresses (2): 203[.]0[.]113[.]45 и 10[.]2[.]3[.]4. Emails (1): help[at]parcel-fee[.]example. example.org/track не найден.
Часто задаваемые вопросы
Что именно меняет Defang?
http://, https:// и ftp:// преобразуются в hxxp://, hxxps:// и fxp://, каждая точка заменяется на [.], а каждый символ @ — на [at], включая точки в путях и именах файлов; части, которые уже были обезврежены, остаются без изменений, поэтому повторное обезвреживание ничего не меняет. Refang обращает этот процесс и также принимает [@], (at), (.), {.}, [dot], (dot) и [:].
Что находит IOC Extractor и что он пропускает?
Ссылки, начинающиеся с http://, https:// или ftp://, числа, похожие на IPv4-адреса, и адреса электронной почты. Голые домены без схемы и уже обезвреженные ссылки не извлекаются, шаблон IP совпадает и со строками версий вроде 1.2.3.4, а знаки препинания в конце могут прилипнуть к URL, поэтому просмотрите список перед копированием.
Отправляется ли мой текст куда-нибудь?
Нет. Обезвреживание, восстановление и извлечение — это замены текста в вашем браузере; ничего не загружается, и ни одна ссылка не открывается.
Становится ли обезвреженная ссылка безопасной для открытия?
Нет. Обезвреживание меняет только внешний вид текста. После восстановления ссылка ведёт на ту же страницу, поэтому открывайте её только в изолированном браузере или в сканере.
Когда восстанавливать ссылки перед отправкой?
Обезвреживайте текст, который будут читать люди, — в чатах, тикетах или публикациях. Восстанавливайте его, когда вставляете в форму, сканер или блок-лист, где ожидаются обычные URL.
Поддерживает ли он адреса IPv6?
Лишь частично. Извлекатель ищет только адреса IPv4. Defang меняет адрес IPv6 только внутри URL, где схема становится hxxp или hxxps; двоеточия остаются как есть.
Почему другие инструменты PhishDestroy обезвреживают иначе?
Такие инструменты, как Archive Link Builder, заменяют только точки между буквами или цифрами и записывают символ @ как [@]. Этот инструмент заменяет все точки и записывает [at]. Refang поддерживает обе формы, поэтому ссылки, созданные с помощью любого из этих инструментов, конвертируются обратно.