Перетворіть список IOC на STIX 2.1, MISP JSON, CSV, правила Suricata або заготовку YARA.
Новий
Знешкодження URL і вилучення IOC
Працює локально
Сам інструмент доступний англійською мовою; на цій сторінці наведено пояснення вашою мовою.
Використовуйте Знешкодження URL і вилучення IOC
Як це працює
Зніміть захисні елементи з URL-адрес, IP-адрес та адрес електронної пошти, щоб їх можна було поширювати без ризику випадкових кліків, або відновите їх; також можна виокремити посилання http(s) та ftp, IPv4-адреси та адреси електронної пошти з фрагмента тексту на вкладці «IOC Extractor».
Програма працює повністю у вашому браузері: жодні введені вами дані не завантажуються.
Як користуватися Знешкодження URL і вилучення IOC
- Виберіть вкладку. Використовуйте Defang & Refang для окремих елементів, які у вас уже є. Використовуйте IOC Extractor, щоб витягти елементи з довшого тексту, як-от листа, чату чи журналу.
- Вставте дані. У Defang & Refang вставте URL, IP-адреси чи адреси електронної пошти, по одному в рядку. В IOC Extractor вставте весь текст.
- Знешкодьте або відновіть. Натисніть Defang, щоб зробити текст некликабельним, або Refang, щоб повернути знешкоджений елемент до звичайного вигляду. Copy (копіювати) копіює результат.
- Витягніть і перегляньте. В IOC Extractor натисніть Extract & Defang IOCs (витягти й знешкодити IOC). URL, IP-адреси та адреси пошти з'являються в трьох групах, кожен елемент знешкоджений і позначений; зніміть позначку з хибних збігів.
- Скопіюйте або передайте далі. Copy Selected IOCs (копіювати вибрані IOC) копіює позначені елементи, по одному в рядку. Send to… (надіслати до…) передає результат Defang & Refang до IOC Converter, Blocklist Converter або Abuse Report Generator.
Приклад
Три IOC, по одному в рядку
https://login.example.com/verify?id=42
203.0.113.7
support@example.nethxxps://login[.]example[.]com/verify?id=42
203[.]0[.]113[.]7
support[at]example[.]netDefang (знешкодити) повертає hxxps://login[.]example[.]com/verify?id=42, 203[.]0[.]113[.]7 і support[at]example[.]net в окремих рядках; Refang (відновити) повертає їх назад.
Що перевіряється
| Сигнал | Що це означає |
|---|---|
| hxxp://, hxxps://, fxp:// | Схема замінюється, щоб чати й поштові клієнти не перетворювали текст на активне посилання. |
| [.] замість кожної крапки | Змінюються крапки в хості, шляху й назвах файлів, тож login.php стає login[.]php. Refang їх відновлює. |
| [at] замість кожного @ | Стосується адрес електронної пошти й будь-якого @ усередині URL. Refang приймає [at] і (at). |
| Інші стилі «дефангу» | Refang також підтримує символи [@], (at), (.), {.}, [dot], (dot) та [:], тому текст, оброблений іншими інструментами, можна конвертувати назад за один крок. |
| Повторне знешкодження | Елементи, з яких вже видалено зубці, залишаються без змін, тому повторне видалення зубців нічого не змінює. |
| Extracted URLs (n) | Текст, що починається з http://, https:// або ftp://, до пробілу, дужки чи лапок. Крапка або кома в кінці речення залишається приєднаною, тож перевіряйте кінець кожного URL. |
| Extracted IP Addresses (n) | Будь-які чотири групи з 1–3 цифр. Номери версій і значення понад 255 теж збігаються, а IP усередині URL тут наводиться ще раз. |
| Extracted Emails (n) | Адреси, що закінчуються крапкою й щонайменше двома літерами. Кожна група наводить кожен елемент лише один раз. |
| No IOCs (URLs, IPs, or Emails) found in the text. | Нічого не знайдено. Голі домени, як-от example.org, і вже знешкоджені посилання не витягуються. |
Ще кілька прикладів
Сторінка входу на голій IP-адресі
http://198.51.100.23/admin/login.phphxxp://198[.]51[.]100[.]23/admin/login[.]php
Відновлення двох стилів
hxxps://wallet-verify[.]example/claim support(at)example(.)orghttps://wallet-verify.example/claim support@example.org
Вилучення з SMS про посилку
Your parcel is on hold. Pay the fee at https://parcel-fee.example/pay?ref=88. Questions: help@parcel-fee.example. Server 203.0.113.45, see example.org/track, build 10.2.3.4.URLs (1): hxxps://parcel-fee[.]example/pay?ref=88[.] з приєднаною крапкою. IP Addresses (2): 203[.]0[.]113[.]45 і 10[.]2[.]3[.]4. Emails (1): help[at]parcel-fee[.]example. example.org/track не знайдено.
Часті запитання
Що саме змінює Defang?
http://, https:// та ftp:// перетворюються на hxxp://, hxxps:// та fxp://, кожна крапка перетворюється на [.], а кожен @ — на [at], включаючи крапки в шляхах та іменах файлів; частини, які вже були знешкоджені, залишаються без змін, тому подвійне знешкодження нічого не змінює. «Refang» скасовує цю обробку, а також приймає [@], (at), (.), {.}, [dot], (dot) та [:].
Що знаходить IOC Extractor і що пропускає?
Посилання, що починаються з http://, https:// або ftp://, числа, схожі на IPv4, і адреси електронної пошти. Голі домени без схеми й уже знешкоджені посилання не витягуються, шаблон IP також збігається з рядками версій на кшталт 1.2.3.4, а розділові знаки в кінці можуть прилипнути до URL, тож перегляньте список перед копіюванням.
Чи надсилається мій текст кудись?
Ні. Знешкодження, відновлення й вилучення — це заміни в тексті у вашому браузері; нічого не завантажується і жодне посилання не відкривається.
Чи стає знешкоджене посилання безпечним для відкриття?
Ні. Знешкодження змінює лише вигляд тексту. Після відновлення посилання веде на ту саму сторінку, тож відкривайте його лише в ізольованому браузері чи сканері.
Коли відновлювати посилання перед надсиланням?
Знешкоджуйте текст, який читатимуть люди, — у чатах, тікетах чи дописах. Відновлюйте його, коли вставляєте у форму, сканер чи список блокування (blocklist), що очікують звичайних URL.
Чи працює він з адресами IPv6?
Лише частково. Екстрактор шукає тільки адреси IPv4. Defang змінює адресу IPv6 лише всередині URL, де схема стає hxxp чи hxxps; двокрапки залишаються як є.
Чому інші інструменти PhishDestroy знешкоджують інакше?
Такі інструменти, як Archive Link Builder, замінюють лише крапки між літерами або цифрами та записують @ як [@]. Цей інструмент замінює кожну крапку та записує [at]. Refang підтримує обидві форми, тому посилання, створені за допомогою будь-якого з цих інструментів, конвертуються назад.