Defanger / Refanger de IOCs
Cuando un analista de seguridad documenta un indicador de compromiso (IOC, por sus siglas en inglés) — una URL de phishing, una IP maliciosa o un dominio de comando y control — necesita poder escribirlo en un reporte sin que se convierta en un enlace activo ni dispare una conexión accidental si alguien lo copia y pega. A esa práctica se la llama 'defanging' (literalmente, sacarle los colmillos al indicador).
Cómo funciona
La herramienta reemplaza los caracteres que activan un enlace o una conexión por una versión visualmente equivalente pero inerte: por ejemplo, http://sitio-malicioso.com se convierte en hxxp://sitio-malicioso[.]com. El dato sigue siendo perfectamente legible e identificable para otro analista, pero ya no es clickeable ni resoluble automáticamente por un cliente de correo, un navegador o una herramienta de monitoreo.
Cuándo se usa
- Al escribir un informe de inteligencia de amenazas (threat intelligence) para compartir indicadores con otros equipos o clientes.
- Al reportar una campaña de phishing a un proveedor de hosting o a un CERT, donde el IOC va a pasar por sistemas automatizados de email.
- Al documentar un incidente internamente, para que nadie abra el enlace por error durante la investigación.
La herramienta también hace el proceso inverso ('refanging'): reconstruye la URL, IP o dominio original a partir de su versión defanged, útil cuando hay que analizar un indicador que llegó ya neutralizado en un reporte de otro equipo.