I-convert ang listahan ng mga IOC sa STIX 2.1, MISP JSON, CSV, mga patakaran ng Suricata, o isang YARA skeleton.
Bago
URL Defanger at IOC Extractor
Tumatakbo nang lokal
Ang kasangkapan mismo ay nasa Ingles; ipinaliwanag ito ng pahinang ito sa iyong wika.
Gamitin angURL Defanger at IOC Extractor
Ano ang ginagawa nito
Alisin ang mga URL, IP address, at email address upang maibahagi nang hindi nagkakaroon ng aksidenteng pag-click, ibalik ang mga ito, o kunin ang mga http(s) at ftp na link, IPv4 address, at email mula sa isang bloke ng teksto sa tab na IOC Extractor.
Ganap itong tumatakbo sa iyong browser: walang anumang ipinasok mo ang ina-upload.
Paano gamitin ang URL Defanger at IOC Extractor
- Piliin ang tab. Gamitin ang Defang & Refang para sa mga indibidwal na item na mayroon ka na. Gamitin ang IOC Extractor para kunin ang mga item mula sa mas mahabang teksto tulad ng e-mail, chat, o log.
- I-paste ang input. Sa Defang & Refang, i-paste ang mga URL, IP address o e-mail address, tig-isa bawat linya. Sa IOC Extractor, i-paste ang buong teksto.
- Defang o refang. Pindutin ang Defang upang gawing hindi-na-maa-click ang teksto, o ang Refang upang ibalik ang isang na-defang na bagay sa normal. Kinukuha ng Copy ang output.
- Kunin at suriin. Sa IOC Extractor, pindutin ang Extract & Defang IOCs. Lumilitaw ang mga URL, IP address, at e-mail sa tatlong grupo, bawat isa ay na-defang at naka-tsek; tanggalin ang tsek sa mga maling tugma.
- Kopyahin o ipasa. Kinokopya ng Copy Selected IOCs ang mga naka-tick na item, isa bawat linya. Ang Send to… ay ipinapasa ang output ng Defang & Refang sa IOC Converter, Blocklist Converter o Abuse Report Generator.
Halimbawa
Tatlong IOC, isa bawat linya
https://login.example.com/verify?id=42
203.0.113.7
support@example.nethxxps://login[.]example[.]com/verify?id=42
203[.]0[.]113[.]7
support[at]example[.]netBumabalik si Defang ng hxxps://login[.]example[.]com/verify?id=42, 203[.]0[.]113[.]7 at support[at]example[.]net sa magkakahiwalay na linya; ibinabalik naman ni Refang ang mga ito.
Ano ang sinusuri nito
| Sinyales | Ano ang ibig sabihin nito |
|---|---|
| hxxp://, hxxps://, fxp:// | Pinalitan ang iskema upang hindi gawing live na link ng mga chat app at mail client ang teksto. |
| [.] para sa bawat tuldok | Nagbabago ang mga tuldok sa host, sa landas, at sa mga pangalan ng file, kaya ang login.php ay nagiging login[.]php. Ibinalik ng Refang ang mga ito. |
| [at] para sa bawat @ | Ipinapahiwatig ito sa mga e-mail address at sa anumang @ sa loob ng URL. Tinatanggap ng Refang ang [at] at (at). |
| Iba pang mga estilo ng pagtanggal ng ngipin | Tinatanggap din ng Refang ang [@], (at), (.), {.}, [dot], (dot) at [:], kaya ang teksto na na-defang ng ibang mga tool ay naibabalik sa isang hakbang lamang. |
| Pag-alis ng laso ng lason nang dalawang beses | Ang mga bahagi na wala nang matulis na ngipin ay nananatiling ganoon, kaya ang pag-alis ng ngipin nang dalawang beses ay hindi nagbabago ng anumang bagay. |
| Mga na-extract na URL (bilang) | Teksto na nagsisimula sa http://, https:// o ftp://, hanggang sa puwang, panaklong o panipi. Ang tuldok o kuwit sa dulo ng pangungusap ay nananatiling nakakabit, kaya suriin ang dulo ng bawat URL. |
| Kinuhang mga IP address (n) | Anumang apat na grupo na may 1 hanggang 3 digit. Kasama rin ang mga numero ng bersyon at mga halagang higit sa 255, at muling nakalista dito ang isang IP sa loob ng URL. |
| Hinango na mga email (pangngalan) | Mga address na nagtatapos sa tuldok at hindi bababa sa dalawang titik. Bawat grupo ay naglilista ng bawat item nang isang beses lamang. |
| Walang IOCs (mga URL, IP, o email) na natagpuan sa teksto. | Walang tumugma. Hindi kinukuha ang mga hubad na domain tulad ng example.org at ang mga link na na-defang na. |
Karagdagang mga halimbawa
Pahina ng pag-login sa isang hubad na IP
http://198.51.100.23/admin/login.phphxxp://198[.]51[.]100[.]23/admin/login[.]php
I-refang ang dalawang estilo
hxxps://wallet-verify[.]example/claim support(at)example(.)orghttps://wallet-verify.example/claim support@example.org
Kinuha mula sa SMS ng parsela
Your parcel is on hold. Pay the fee at https://parcel-fee.example/pay?ref=88. Questions: help@parcel-fee.example. Server 203.0.113.45, see example.org/track, build 10.2.3.4.Mga URL (1): hxxps://parcel-fee[.]example/pay?ref=88[.] kasama ang tuldok. Mga IP Address (2): 203[.]0[.]113[.]45 at 10[.]2[.]3[.]4. Mga Email (1): help[at]parcel-fee[.]example. Hindi matagpuan ang example.org/track.
Madalas na tanong
Ano nga ba talaga ang binabago ni Defang?
http://, https:// at ftp:// ay nagiging hxxp://, hxxps:// at fxp://, Ang bawat tuldok ay nagiging [.] at ang bawat @ ay nagiging [at], kasama na ang mga tuldok sa mga path at pangalan ng file; ang mga bahagi na hindi na kailangang i-defang ay nananatiling ganoon, kaya ang pag-defang nang dalawang beses ay hindi nagbabago ng anuman. Binaliktad ng Refang ito at tinatanggap din ang [@], (at), (.), {.}, [tuldok], (tuldok) at [:].
Ano ang natatagpuan ng IOC Extractor, at ano ang hindi nito natatagpuan?
Mga link na nagsisimula sa http://, https:// o ftp://, mga numerong mukhang IPv4 at mga address ng email. Hindi kinukuha ang mga hubad na domain na walang scheme at ang mga link na na-defang na; tumutugma rin ang pattern ng IP sa mga string ng bersyon tulad ng 1.2.3.4; at maaaring manatili sa URL ang mga tandang-pangtapos, kaya suriin muna ang listahan bago kopyahin.
Ipinapadala ba ang aking teksto kahit saan?
Hindi. Ang Defanging, refanging, at extraction ay mga pagpapalit ng teksto sa iyong browser; walang nai-upload at walang link ang nabubuksan.
Nagiging ligtas bang buksan ang isang link na walang ngipin?
Hindi. Ang pagtanggal ng link ay nagbabago lamang sa hitsura ng teksto. Kapag naibalik ang link, ito ay tutungo sa parehong pahina, kaya buksan lamang ito sa isang hiwalay na browser o sa isang scanner.
Kailan ko dapat i-refang bago magpadala?
Alisin ang teksto na babasahin ng mga tao sa mga chat, tiket, o post. Ibalik ito kapag ipinapaste mo sa isang form, scanner, o blocklist na nangangailangan ng normal na URL.
Sinusuportahan ba nito ang mga IPv6 na address?
Bahagyang lang. Ang extractor ay naghahanap lamang ng mga IPv4 address. Binabago ng Defang ang IPv6 address sa loob lamang ng URL, kung saan ang scheme ay nagiging hxxp o hxxps; nananatili ang mga colon.
Bakit iba-iba ang paraan ng pag-aalis ng ngipin ng ibang mga kasangkapan ng PhishDestroy?
Ang mga kasangkapang tulad ng Archive Link Builder ay pumapalit lamang sa mga tuldok sa pagitan ng mga titik o numero at isinusulat ang @ bilang [@]. Ang kasangkapang ito ay pumapalit sa bawat tuldok at isinusulat ang [at]. Tumatanggap ang Refang sa parehong anyo, kaya ang mga link mula sa alinmang kasangkapan ay maibabalik.