แปลงรายชื่อ IOC เป็น STIX 2.1, MISP JSON, CSV, กฎ Suricata หรือโครงร่าง YARA
ใหม่
URL Defanger & IOC Extractor
ทำงานในเครื่อง
เครื่องมือนี้ใช้ภาษาอังกฤษ; หน้านี้อธิบายด้วยภาษาของคุณ
ใช้URL Defanger & IOC Extractor
หน้าที่ของมันคืออะไร
ลบส่วนที่ไม่จำเป็นออกจาก URL, ที่อยู่ IP และที่อยู่อีเมล เพื่อให้สามารถแชร์ได้โดยไม่เกิดการคลิกผิดพลาด จากนั้นสามารถเพิ่มส่วนที่ถูกลบกลับเข้าไป หรือสกัดลิงก์ http(s) และ ftp, ที่อยู่ IPv4 และที่อยู่อีเมล จากข้อความในแท็บ IOC Extractor
ระบบนี้ทำงานทั้งหมดในเบราว์เซอร์ของคุณ: ข้อมูลที่คุณป้อนจะไม่ถูกส่งขึ้นเซิร์ฟเวอร์เลย
วิธีใช้URL Defanger & IOC Extractor
- เลือกแท็บ. ใช้ Defang & Refang สำหรับรายการเดียวที่คุณมีอยู่แล้ว ใช้ IOC Extractor เพื่อดึงรายการออกมาจากข้อความที่ยาว เช่น อีเมล การสนทนา หรือบันทึก
- วางข้อมูลที่ป้อนเข้าไป. ใน Defang & Refang ให้วาง URL, ที่อยู่ IP หรือที่อยู่อีเมล โดยแต่ละบรรทัดให้วางหนึ่งรายการเท่านั้น ส่วนใน IOC Extractor ให้วางข้อความทั้งหมด
- ตัดฟันหรือใส่ฟันใหม่. กด Defang เพื่อทำให้ข้อความไม่สามารถคลิกได้ หรือกด Refang เพื่อเปลี่ยนรายการที่ถูกทำให้ไม่สามารถคลิกได้กลับเป็นรายการปกติอีกครั้ง คำสั่ง Copy จะคัดลอกผลลัพธ์
- สกัดและตรวจสอบ. ใน IOC Extractor ให้คลิกที่ "Extract & Defang IOCs" URL, ที่อยู่ IP และที่อยู่อีเมลจะปรากฏเป็นสามกลุ่ม โดยแต่ละรายการจะถูกลบส่วนที่อาจก่อให้เกิดความเข้าใจผิดและถูกทำเครื่องหมายไว้; ให้ยกเลิกการทำเครื่องหมายในรายการที่ตรงกันผิด
- คัดลอกหรือส่งต่อ. "คัดลอก IOC ที่เลือก" จะคัดลอกรายการที่ถูกทำเครื่องหมายไว้ โดยแต่ละรายการจะอยู่ในบรรทัดหนึ่งบรรทัด "ส่งไปยัง…" จะส่งผลลัพธ์จาก Defang & Refang ไปยัง IOC Converter, Blocklist Converter หรือ Abuse Report Generator
ตัวอย่าง
IOC สามตัว แต่ละตัวต่อหนึ่งบรรทัด
https://login.example.com/verify?id=42
203.0.113.7
support@example.nethxxps://login[.]example[.]com/verify?id=42
203[.]0[.]113[.]7
support[at]example[.]netDefang ส่งคืน hxxps://login[.]example[.]com/verify?id=42, 203[.]0[.]113[.]7 และ support[at]example[.]net ในบรรทัดที่แยกกัน; Refang ส่งคืนข้อมูลเหล่านั้นกลับ
สิ่งที่ระบบตรวจสอบ
| สัญญาณ | ความหมายของคำนี้คืออะไร |
|---|---|
| hxxp://, hxxps://, fxp:// | ระบบนี้ได้รับการปรับปรุงเพื่อไม่ให้แอปแชทและโปรแกรมอีเมลแปลงข้อความดังกล่าวเป็นลิงก์ที่ใช้งานได้ |
| [.] สำหรับทุกจุด | จุดในชื่อโฮสต์ ชื่อเส้นทาง และชื่อไฟล์จะเปลี่ยนไปทั้งหมด ทำให้ login.php กลายเป็น login[.]php Refang จะคืนค่าให้กลับเป็นเดิม |
| [at] สำหรับทุก @ | ใช้ได้กับที่อยู่อีเมลและสัญลักษณ์ @ ใดๆ ใน URL Refang รับทั้ง [at] และ (at) |
| สไตล์การตัดฟันอื่น ๆ | Refang ยังรองรับ [@], (at), (.), {.}, [dot], (dot) และ [:] ด้วย ดังนั้นข้อความที่ได้รับการปรับแต่งโดยเครื่องมืออื่น ๆ จึงสามารถแปลงกลับได้ในขั้นตอนเดียว |
| การถอนเขี้ยวสองครั้ง | ชิ้นส่วนที่ได้รับการตัดฟันแล้วจะยังคงอยู่ในสภาพเดิม ดังนั้นการตัดฟันซ้ำสองครั้งจะไม่ส่งผลอะไรเลย |
| URL ที่ถูกดึงออกมา (n) | ข้อความที่เริ่มต้นด้วย http://, https:// หรือ ftp:// จนถึงช่องว่าง เครื่องหมายวงเล็บ หรือเครื่องหมายคำพูด จุดหรือเครื่องหมายจุลภาคที่ท้ายประโยคจะยังคงติดอยู่ ดังนั้นโปรดตรวจสอบส่วนท้ายของ URL แต่ละอัน |
| ที่อยู่ IP ที่ถูกดึงออกมา (n) | กลุ่มตัวเลขใดก็ได้ 4 กลุ่ม โดยแต่ละกลุ่มมี 1 ถึง 3 หลัก หมายเลขเวอร์ชันและค่าที่เกิน 255 ก็ตรงกันด้วย และที่อยู่ IP ที่อยู่ใน URL ก็ถูกระบุไว้ที่นี่อีกครั้ง |
| อีเมลที่ถูกดึงออกมา (n) | ที่อยู่ที่มีจุดและตัวอักษรอย่างน้อยสองตัวเป็นส่วนท้าย แต่ละกลุ่มจะระบุรายการแต่ละรายการเพียงครั้งเดียวเท่านั้น |
| ไม่พบ IOC (URL, IP หรืออีเมล) ในข้อความ | ไม่มีผลลัพธ์ที่ตรงกัน โดเมนเปล่า เช่น example.org และลิงก์ที่ถูกลบส่วนอันตรายออกไปแล้ว จะไม่ถูกดึงออกมา |
ตัวอย่างเพิ่มเติม
หน้าเข้าสู่ระบบบน IP ที่ไม่มีการตั้งค่าใดๆ
http://198.51.100.23/admin/login.phphxxp://198[.]51[.]100[.]23/admin/login[.]php
ปรับรูปแบบใหม่สองแบบ
hxxps://wallet-verify[.]example/claim support(at)example(.)orghttps://wallet-verify.example/claim support@example.org
ข้อความจาก SMS ของพัสดุ
Your parcel is on hold. Pay the fee at https://parcel-fee.example/pay?ref=88. Questions: help@parcel-fee.example. Server 203.0.113.45, see example.org/track, build 10.2.3.4.URL (1): hxxps://parcel-fee[.]example/pay?ref=88[.] พร้อมด้วยจุด (.) ที่อยู่ IP (2): 203[.]0[.]113[.]45 และ 10[.]2[.]3[.]4. ที่อยู่อีเมล (1): help[at]parcel-fee[.]example. example.org/track ไม่พบ
คำถามที่พบบ่อย
Defang เปลี่ยนแปลงอะไรบ้าง?
http://, https:// และ ftp:// เปลี่ยนเป็น hxxp://, hxxps:// และ fxp://, ทุกจุดจะกลายเป็น [.] และทุก @ จะกลายเป็น [at] รวมถึงจุดในเส้นทางและชื่อไฟล์; ส่วนที่ได้รับการลบสัญลักษณ์พิเศษไปแล้วจะคงเดิม ดังนั้นการลบสัญลักษณ์พิเศษสองครั้งจะไม่เปลี่ยนแปลงอะไรเลย Refang จะกลับกระบวนการนี้และยังรับ [@], (at), (.), {.}, [dot], (dot) และ [:] ได้ด้วย
IOC Extractor ค้นพบอะไร และพลาดอะไรไปบ้าง?
ลิงก์ที่เริ่มต้นด้วย http://, https:// หรือ ftp://, ตัวเลขที่ดูเหมือน IPv4 และที่อยู่อีเมล โดเมนเปล่าที่ไม่มีรูปแบบและลิงก์ที่ถูกทำให้ปลอดภัยแล้วจะไม่ถูกดึงออกมา รูปแบบ IP ยังตรงกับสตริงเวอร์ชันเช่น 1.2.3.4 และเครื่องหมายวรรคตอนท้ายสามารถติดอยู่กับ URL ได้ ดังนั้นโปรดตรวจสอบรายการก่อนคัดลอก
ข้อความของฉันถูกส่งไปที่ไหนบ้างไหม?
ไม่ครับ การลบฟัน การเพิ่มฟัน และการถอนฟัน เป็นเพียงการแทนที่ข้อความในเบราว์เซอร์ของคุณเท่านั้น; ไม่มีข้อมูลใดถูกอัปโหลด และไม่มีลิงก์ใดถูกเปิด
ลิงก์ที่ถูกตัดส่วนอันตรายแล้วจะปลอดภัยที่จะเปิดได้หรือไม่?
ไม่ครับ การลบเครื่องหมายคำนำหน้าจะเปลี่ยนเพียงลักษณะของข้อความเท่านั้น เมื่อใส่เครื่องหมายคำนำหน้าใหม่แล้ว ลิงก์จะนำไปยังหน้าเดิม ดังนั้นควรเปิดลิงก์นี้ในเบราว์เซอร์ที่แยกต่างหากหรือในโปรแกรมสแกนเท่านั้น
ควรปรับฟันใหม่เมื่อใดก่อนส่ง?
ลบส่วนที่ไม่จำเป็นออกจากข้อความที่ผู้คนจะอ่านได้ ไม่ว่าจะเป็นในแชท ตั๋ว หรือโพสต์ และเพิ่มส่วนที่ถูกลบกลับเข้าไปเมื่อคุณวางข้อความลงในแบบฟอร์ม เครื่องสแกน หรือรายชื่อบล็อก ที่ต้องการ URL ปกติ
มันรองรับที่อยู่ IPv6 ได้หรือไม่?
เพียงส่วนหนึ่งเท่านั้น เครื่องสกัดข้อมูลจะค้นหาเฉพาะที่อยู่ IPv4 เท่านั้น ส่วน Defang จะเปลี่ยนที่อยู่ IPv6 เฉพาะภายใน URL เท่านั้น โดยที่ส่วน scheme จะเปลี่ยนเป็น hxxp หรือ hxxps ส่วนเครื่องหมายจุดสองจุดจะยังคงอยู่ตามเดิม
ทำไมเครื่องมือ PhishDestroy อื่นๆ จึงมีวิธีการกำจัดภัยคุกคามที่แตกต่างกัน?
เครื่องมือเช่น Archive Link Builder จะแทนที่จุดระหว่างตัวอักษรหรือตัวเลขเท่านั้น และเขียน @ เป็น [@] เครื่องมือนี้จะแทนที่จุดทุกจุด และเขียน [at] Refang รับทั้งสองรูปแบบได้ ดังนั้นลิงก์จากเครื่องมือใดก็ตามจึงสามารถแปลงกลับได้