Extraktor a defang IOC
Vytáhne z libovolného textu indikátory kompromitace (URL, domény, IPv4, e-maily, hashe MD5/SHA-1/SHA-256, CVE), odstraní duplicity a připraví je k bezpečnému sdílení.
Jak nástroj použít
- Vložte do pole text – výpis z logu, hlavičky a tělo podezřelého e-mailu, report z antiviru nebo zprávu od kolegy.
- Klikněte na Najít indikátory. Nástroj rozpozná i už zneškodněné zápisy (hxxp, [.], [@]).
- Nechte zapnuté zneškodnění, pokud výsledky posíláte e-mailem nebo do chatu, aby na ně nikdo omylem neklikl.
- Zkopírujte celou sadu nebo jen jednu skupinu a vložte ji do tiketu, blokovacího seznamu nebo SIEM dotazu.
Jak to funguje
IOC (Indicator of Compromise, indikátor kompromitace) je stopa, podle které se dá poznat útok: adresa podvodného webu, IP adresa řídicího serveru, hash škodlivého souboru nebo číslo zneužívané zranitelnosti.
Nástroj hledá v textu tyto vzory:
- URL se schématem http, https nebo ftp (syntaxi URL popisuje RFC 3986).
- Domény včetně těch, které jsou součástí URL. Aby se nepletly s názvy souborů (faktura.exe), bere jen domény s rozšířenými nebo národními koncovkami.
- IPv4 adresy – jen platné (každá část 0–255).
- Hashe podle délky: MD5 má 128 bitů (32 hexadecimálních znaků), SHA-1 160 bitů (40 znaků) a SHA-256 256 bitů (64 znaků).
- E-maily a identifikátory CVE ve tvaru CVE-rok-číslo.
Defang (zneškodnění) upraví indikátor tak, aby z něj poštovní program nebo chat nevytvořil klikací odkaz: z http udělá hxxp, tečky nahradí [.] a zavináč [@]. Refang je opačný převod – nástroj ho dělá automaticky na vstupu.
Rozpoznání podle vzorů není dokonalé. Před blokací výsledky zkontrolujte: například 32 znaků dlouhý hexadecimální řetězec nemusí být MD5 hash, ale třeba identifikátor relace.
Časté otázky
Odesílá se vložený text někam?
Ne. Celé zpracování probíhá ve vašem prohlížeči v JavaScriptu. Stránka neobsahuje žádné měřicí ani cizí skripty a text se nikam neukládá.
Proč se mezi doménami neobjevil název souboru?
Řetězce typu dokument.pdf nebo faktura.exe vypadají jako domény. Nástroj je vynechá, pokud koncovka odpovídá běžné příponě souboru a nejde o známou doménovou koncovku.
Proč výsledky zneškodňovat?
Aby nikdo omylem neotevřel škodlivý odkaz a aby e-mailové filtry nebo náhledy odkazů v chatu nenavázaly spojení se serverem útočníka.
Umí nástroj IPv6?
Zatím ne. IPv6 plánujeme doplnit, pokud bude zájem – napište nám přes stránku Zpětná vazba.
Zdroje
Aktualizováno