每个人都会遇到可疑链接、钓鱼邮件和潜在诈骗。无论是向银行报告欺诈、与 IT 支持分享可疑邮件，还是警告朋友注意钓鱼攻击，你都需要在不意外传播威胁的情况下传达这些信息。意外点击恶意链接可能会危及你的设备或账户。
安全专业人员将这些危险的 URL、IP 地址和电子邮件地址称为"入侵指标"（Indicators of Compromise，简称 IOC）——潜在安全威胁的证据。Defang 作为一种简单而有效的解决方案应运而生，用于安全地分享 IOC。通过修改 URL 使其不可点击但保持可读性，任何人都可以在不产生新风险的情况下分享危险链接。这种做法已成为安全专业人员、IT 支持团队以及越来越多保护自己和他人的普通互联网用户的标准做法。
问题：文档中的可点击威胁
安全文档本质上包含危险内容。事件报告引用钓鱼 URL，恶意软件分析文档包含命令与控制服务器地址，威胁情报源列出被入侵的域名。当这些文档通过电子邮件、聊天或协作平台共享时，URL 通常会变成可点击的链接。
⚠️ 可点击链接的风险
意外点击
- 审查报告的安全分析师可能会意外点击恶意链接
- 电子邮件客户端和浏览器会自动将 URL 呈现为可点击
- 移动设备使意外点击更容易发生
- 复制粘贴操作可能触发 URL 预览功能
自动化系统
- 安全工具可能会自动扫描或访问 URL
- 电子邮件安全网关可能会跟踪链接进行分析
- 协作平台可能会生成链接预览
- 备份系统可能会索引和处理 URL
社会工程
- 攻击者监控安全讨论和报告
- 恶意行为者可能诱骗分析师点击看似"安全"的 IOC
- 钓鱼活动专门针对安全团队
- 对安全文档的信任可能被利用
讽刺的是：旨在防范威胁的文档本身可能成为威胁载体。通过电子邮件共享的恶意软件分析报告可能会在收件人意外点击正在分析的 URL 时触发感染。
什么是 Defang？
Defang 修改 URL、IP 地址和电子邮件地址，使其不可点击但保持可读性。这些修改是简单的字符替换，可以破坏自动链接检测而不会模糊内容。
🔧 常见 Defang 技术
URL Defang
- 将
.替换为[.]：example[.]com - 将
http替换为hxxp：hxxp://example.com - 将
://替换为[://]：http[://]example.com - 将端口中的
:替换为[:]：example.com[:]8080
IP 地址 Defang
- 将
.替换为[.]：192[.]168[.]1[.]1 - 替代方案：
192.168.1[.]1（仅最后一个点）
电子邮件地址 Defang
- 将
@替换为[@]：user[@]example.com - 将
.替换为[.]：user@example[.]com - 组合：
user[@]example[.]com
Defang 后的版本仍然易于阅读。任何人都可以轻松理解 hxxp://malicious[.]example[.]com 指的是 http://malicious.example.com，但电子邮件客户端和浏览器不会自动创建可点击的链接。
Refang：恢复原始格式
当这些链接需要在安全工具或脚本中使用时，必须进行"refang"——转换回原始格式。这通常通过编程方式完成：
def refang_url(defanged_url):
"""将 defang 的 URL 转换回原始格式"""
refanged = defanged_url
refanged = refanged.replace('[.]', '.')
refanged = refanged.replace('hxxp', 'http')
refanged = refanged.replace('[://]', '://')
refanged = refanged.replace('[:]', ':')
return refanged
# 使用示例
defanged = "hxxp://malicious[.]example[.]com[:]8080/path"
original = refang_url(defanged)
# 结果：http://malicious.example.com:8080/path安全工具和威胁情报平台通常包含内置的 defang 和 refang 功能，为分析师自动化该过程。
行业采用和标准
Defang 已成为整个安全行业的标准做法。主要组织和平台都采用了这种技术：
✅ 行业使用情况
威胁情报平台
- MISP（恶意软件信息共享平台）支持 defang
- ThreatConnect 在报告中自动 defang 指标
- AlienVault OTX 在威胁源中显示 defang 的 URL
- VirusTotal 评论经常使用 defang 格式
安全运营
- SOC 分析师在事件工单中 defang 指标
- 威胁狩猎报告使用 defang 的指标
- 恶意软件分析文档 defang C2 服务器
- 钓鱼调查 defang 恶意 URL
通信渠道
- 安全邮件列表要求 defang IOC
- Slack/Teams 安全频道使用 defang
- Twitter 安全社区使用 defang 格式
- 会议演示 defang 现场演示
这种做法已经变得如此普遍，以至于安全专业人员立即识别 defang 格式。看到 hxxp 或 [.] 就表示"这是一个恶意指标"，无需明确的警告标签。
何时使用 Defang
并非每个 URL 都需要 defang。在分享潜在恶意内容时，这种做法最有价值：
🎯 应该 Defang 的内容
恶意指标
- 来自电子邮件活动的钓鱼 URL
- 恶意软件下载位置
- 命令与控制服务器地址
- 被入侵的网站 URL
- 漏洞利用工具包登陆页面
可疑内容
- 正在调查的 URL
- 被安全工具标记的域名
- 与攻击相关的 IP 地址
- 用于钓鱼的电子邮件地址
安全文档
- 事件响应报告
- 威胁情报简报
- 恶意软件分析报告
- 安全培训材料
- 漏洞披露
ℹ️ 不应该 Defang 的内容
合法资源
- 安全供应商网站
- 补丁下载位置
- 文档参考
- 工具下载链接
- 教育资源
上下文很重要
- 内部安全工具（已在受控环境中）
- 由安全工具使用的自动化源
- 下一步立即需要 refang 的情况
关键问题是：有人可能意外点击这个并造成伤害吗？如果是，就 defang 它。
在工作流程中实施 Defang
将 defang 集成到安全工作流程中需要技术工具和流程变更：
🔧 实施方法
手动 Defang
- 用于一次性分享的快速编辑
- 在文档中手动替换字符
- 适用于少量链接
- 容易出现不一致和错误
浏览器扩展
- 一键 defang 选定的文本
- 复制 URL 时自动 defang
- 团队间格式一致
命令行工具
- 批量处理链接列表
- 与安全脚本集成
- 管道中的自动化 defang
安全平台集成
- 工单系统中的自动 defang
- 威胁情报平台中的内置 defang
- Defang 显示，按需 refang
对于快速 defang 需求，我创建了一个简单的基于 Web 的工具：Defang 工具。它处理 URL、IP 和电子邮件地址，具有可自定义的 defang 选项。该工具完全在浏览器中运行——不会将数据发送到服务器，因此对敏感 IOC 是安全的。
改善 Defang URL 的用户体验
虽然 defang 可以防止意外点击，但它可能会给合法使用带来摩擦。智能实现在安全性和可用性之间取得平衡：
🎯 用户体验最佳实践
一键 Refang
- 在 defang 的 URL 旁边提供"复制原始"按钮
- 点击自动 refang 并复制到剪贴板
- 减少需要原始链接的分析师的手动编辑
- 示例：
hxxp://example[.]com→ 点击 → 复制http://example.com
视觉指示器
- 对 defang 的内容使用独特的样式（等宽字体、不同颜色）
- 添加图标或徽章指示"defang"状态
- 明确表明 URL 已被有意修改
- 防止对"损坏"链接的混淆
悬停工具提示
- 悬停时显示原始 URL 而不使其可点击
- 显示"点击复制原始"说明
- 提供上下文而无需文档
选择性 Defang
- 允许用户在 defang 和原始视图之间切换
- 在受控环境中有用（SOC 工作站）
- 需要身份验证或明确的用户操作
- 在保持安全性的同时提供灵活性
上下文感知显示
- 在电子邮件和公共频道中默认 defang
- 在沙箱分析环境中显示原始
- 根据用户角色和环境安全性进行调整
扫描后 Defang
- 将 URL 提交到扫描服务（VirusTotal、URLScan.io）
- 扫描完成后自动 defang
- 在 defang 的 URL 中包含扫描结果链接
- 在分享前提供安全验证
- 示例："hxxp://example[.]com（VirusTotal：5/89 检测）"
Defang 工具实现了其中几种模式：可自定义的 defang 选项让你选择要应用的转换，一键复制按钮使输出易于使用。该工具会记住你的偏好，简化重复的 defang 任务。
团队流程考虑
除了工具之外，成功的 defang 还需要团队协调：
✅ 流程最佳实践
建立标准
- 记录要使用的 defang 格式
- 指定何时需要 defang
- 为常见场景创建模板
- 培训团队成员该做法
集成到工作流程
- 将 defang 步骤添加到事件响应程序
- 在报告模板中包含 defang
- 配置工单系统以提示 defang
- 审查共享内容以确保正确 defang
平衡安全性和可用性
- 不要 defang 内部工具 URL
- 为需要的分析师提供简单的 refang
- 在决定 defang 时考虑上下文
- 避免过度 defang 合法内容
目标是使 defang 自动化且轻松，而不是给安全运营增加摩擦。
局限性和注意事项
Defang 不是完整的安全解决方案。它可以防止意外点击，但有局限性：
⚠️ Defang 无法防止的内容
有意行为
- 分析师可以手动 refang 并访问 URL
- Defang 不能防止有意访问
- 不能替代适当的安全控制
复杂攻击
- 攻击者可以在钓鱼中包含 defang 的 URL
- 社会工程可以诱骗用户 refang
- Defang 不验证 URL 安全性
工具兼容性
- 某些安全工具需要标准 URL 格式
- 自动化处理可能需要 refang
- 与外部系统的集成可能会中断
Defang 是纵深防御中的一层。它应该补充而不是替代其他安全措施，如沙箱分析环境、网络分段和安全意识培训。
人为因素
Defang 的有效性取决于人类行为：
🎯 人为考虑
需要培训
- 新团队成员必须学习该做法
- 解释为什么 defang 很重要
- 演示正确的 defang 技术
- 展示必要时如何 refang
一致性很重要
- 不一致的 defang 会造成混淆
- 混合格式降低有效性
- 全团队采用至关重要
不要制造虚假安全感
- Defang 不会使 URL 安全访问
- 分析师仍然需要适当的安全控制
- 分析仍需要沙箱环境
- Defang 是便利，不是保护
当整个安全团队理解并一致应用时，该做法效果最佳。
超越 URL：其他 Defang 应用
虽然 URL 是最常见的用例，但 defang 适用于其他指标：
📋 其他可 Defang 的内容
文件路径
- 恶意软件位置：
C[:]\\Windows\\System32\\malware.exe - 网络共享：
\\\\server[.]domain[.]com\\share
注册表键
HKEY_LOCAL_MACHINE\\Software\\Malware（已经不可点击）- 用于文档中的一致性
命令字符串
- 带有 URL 的 PowerShell 命令
- 带有恶意端点的 Curl/wget 命令
- 包含 IOC 的脚本
加密货币地址
- 勒索软件中使用的比特币地址
- 诈骗中的以太坊地址
- 防止意外复制到剪贴板
原则保持不变：使潜在危险的内容不可交互，同时保持可读性。
结论
Defang URL 代表了一种简单而有效的安全实践，已成为威胁情报和事件响应的标准。通过修改 URL、IP 地址和电子邮件地址以防止自动链接创建，安全团队可以安全地共享入侵指标而不会产生新风险。
这种做法源于真实需求：安全文档包含必须清晰但安全地传达的危险内容。事件报告中恶意链接的意外点击、威胁源中跟踪 URL 的自动化系统以及针对安全团队的社会工程攻击都说明了为什么 defang 很重要。
实施很简单。常见技术包括将点替换为 [.]，将 http 更改为 hxxp，以及用括号括起协议分隔符。这些修改破坏了自动链接检测，同时保持了人类可读性。当 IOC 需要在安全工具中使用时，它们可以轻松地 refang——转换回原始格式。
行业采用广泛。威胁情报平台、安全运营中心和安全通信渠道通常使用 defang 格式。这种做法已经变得如此普遍，以至于安全专业人员立即将 hxxp://malicious[.]example[.]com 识别为 defang 的恶意指标。
然而，defang 有局限性。它可以防止意外点击，但不能阻止有意行为，不验证 URL 安全性，并且可能需要 refang 以实现工具兼容性。该做法应该补充而不是替代其他安全措施，如沙箱分析环境和安全意识培训。
成功的 defang 需要技术工具和流程变更。无论使用手动编辑、浏览器扩展、命令行工具还是集成的安全平台，关键是使 defang 自动化且轻松。全团队采用、一致的格式和明确的标准确保该做法提供最大收益。
对于快速 defang 需求，请尝试 Defang 工具——一个基于浏览器的实用程序，可处理 URL、IP 和电子邮件地址，具有可自定义的选项。它完全在客户端工作，因此对敏感指标是安全的。
Defang 不会防止所有安全事件，但它消除了一个常见且容易预防的风险：意外点击安全文档中的恶意链接。在我们不断处理危险内容的行业中，这种简单的做法提供了宝贵的安全边际。在分享威胁情报、记录事件或讨论恶意指标时，花点时间 defang。你的同事和你的安全态势都会受益。