What does defanging a URL mean?

Defanging replaces parts of a URL or IP address that would make it clickable or resolvable. Common transformations: http:// → hxxp[://], https:// → hxxps[://], and dots → [.]. For example, https://evil.com becomes hxxps[://]evil[.]com. This lets analysts share indicators of compromise (IoCs) in reports, emails, and tickets without risk of accidentally clicking a malicious link.

What is refanging (fanging)?

Refanging (also called fanging) is the reverse of defanging — it restores a defanged URL or IP back to its original clickable form. hxxps[://]evil[.]com becomes https://evil.com again. Use refanging when you need to actually visit or query the indicator, for example to run it through a sandbox or WHOIS lookup.

Why are brackets used around dots in defanged URLs?

Brackets prevent automatic hyperlinking by email clients, SIEM platforms, ticketing systems, and messaging tools. A plain dot in a hostname like evil.com may be auto-converted to a clickable link. Wrapping it as evil[.]com breaks that auto-detection while still making the original value obvious to a human analyst.

What are common defanging conventions for IPs and emails?

For IP addresses: replace dots with [.] — e.g. 192.168.1[.]1. For email addresses: replace @ with [@] — e.g. attacker[@]evil[.]com. For URLs: replace http with hxxp and dots with [.]. Some analysts also bracket the colon: hxxp[://]. This tool applies all these transformations automatically and can reverse them all when fanging.

Defang / Fang URL และ IP

เสร็จสิ้น

โหมด

อินพุต

เอาต์พุต

hxxps[://]malicious-example[.]com/path?q=1
hxxp[://]192[.]168[.]1[.]1/admin
attacker[@]evil[.]com
8[.]8[.]8[.]8

รายละเอียดทางเทคนิค

เครื่องมือ Defang/Fang สำหรับ URL และ IP ทำงานอย่างไร

เครื่องมือนี้ทำอะไร

เครื่องมือ Defang/Fang จะแปลง URL และที่อยู่ IP ให้อยู่ในรูปแบบที่ปลอดภัยและไม่สามารถคลิกได้ โดยแทนที่อักขระที่ทำให้ระบบสร้างไฮเปอร์ลิงก์อัตโนมัติ การ defang จะเปลี่ยนจุดเป็น [.] และตัวคั่นสคีมเป็น [://] ทำให้ได้สตริงอย่าง hxxps://example[.]com หรือ 192[.]168[.]1[.]1 ส่วนการทำงานย้อนกลับ (fanging) จะคืนค่าให้เป็นรูปแบบเดิมที่คลิกได้ นี่เป็นแนวปฏิบัติมาตรฐานในงานความปลอดภัยไซเบอร์และการรายงานข่าวกรองภัยคุกคาม เพื่อป้องกันการเผลอเข้าไปยังเว็บไซต์อันตรายโดยไม่ตั้งใจ

กรณีการใช้งานทั่วไปของนักพัฒนา

นักวิเคราะห์ความปลอดภัยจะทำการ defang URL และ IP เมื่อแชร์ตัวบ่งชี้การถูกโจมตี (IoCs) ในรายงานเหตุการณ์ ฟีดข่าวกรองภัยคุกคาม การแจ้งเตือน SIEM เธรดอีเมล และช่องทาง Slack เพื่อให้ผู้อ่านไม่สามารถเผลอคลิกลิงก์อันตรายได้ นักพัฒนาที่สร้างแพลตฟอร์มข่าวกรองภัยคุกคามหรือเครื่องมือ SOAR ใช้การ defang เป็นขั้นตอนเตรียมข้อมูลก่อนจัดเก็บหรือแสดงผล IoCs ส่วนการ fanging จำเป็นเพื่อกู้คืน URL สำหรับเวิร์กโฟลว์การสแกนอัตโนมัติหรือการ enrichment

รูปแบบข้อมูล ชนิด หรือรูปแบบย่อย

URL ที่ถูก defang จะเปลี่ยนตัวคั่นสคีม (http หรือ https) :// เป็น [://] และเปลี่ยนจุดทุกจุดในชื่อโฮสต์และพาธเป็น [.]. ที่อยู่ IPv4 จะเปลี่ยนจุดแต่ละจุดเป็น [.], ทำให้ได้รูปแบบอย่าง 10[.]0[.]0[.]1. ที่อยู่ IPv6 อาจแทนที่เครื่องหมายโคลอนด้วย [:]. บางธรรมเนียมยังใส่วงเล็บให้กับ TLD ด้วย เช่น example[.]com รูปแบบที่แน่นอนอาจแตกต่างกันไปตามเครื่องมือและองค์กร ดังนั้นควรยืนยันรูปแบบที่คาดหวังเสมอก่อนนำ IoCs ที่ถูก defang ไปนำเข้าในระบบอัตโนมัติ

ข้อผิดพลาดที่พบบ่อยและกรณีขอบ

แพลตฟอร์มข่าวกรองภัยคุกคามต่าง ๆ ใช้ธรรมเนียมการ defang ที่แตกต่างกันเล็กน้อย ดังนั้นเครื่องมือ fanging ต้องรองรับรูปแบบวงเล็บหลายแบบ URL ที่มีพอร์ตที่ไม่มาตรฐานหรือมีข้อมูลรับรองสำหรับยืนยันตัวตนอาจ defang ได้ไม่สะอาด การ defang เป็นมาตรการด้านความปลอดภัยเชิงรูปลักษณ์เท่านั้น และไม่ได้ทำการ sanitise หรือ validate URL ที่อยู่เบื้องหลัง — ควรถือว่า IoCs ที่ถูก defang เป็นอินพุตที่ไม่น่าเชื่อถือเสมอเมื่อทำ fanging และส่งต่อเข้าสู่ไปป์ไลน์อัตโนมัติ

เมื่อใดควรใช้เครื่องมือนี้แทนการเขียนโค้ด

ใช้เครื่องมือบนเบราว์เซอร์นี้สำหรับการ defang แบบแมนนวลอย่างรวดเร็วเมื่อเขียนรายงานหรือแชร์ IoCs ในแชต สำหรับไปป์ไลน์ข่าวกรองภัยคุกคามแบบอัตโนมัติ ให้ผสานรวมไลบรารี เช่น iocextract หรือ defang (Python) หรือเขียนยูทิลิตีแบบง่ายด้วย regex ในภาษาที่คุณถนัด เพื่อให้การ defang ถูกนำไปใช้อย่างสม่ำเสมอและทำได้แบบเป็นโปรแกรมกับข้อมูล IoC ทั้งหมด