Defanging (zararsızlaştırma)

Defanging (zararsızlaştırma), kötü amaçlı bir adresi, alan adını, IP adresini ya da e-posta adresini, tıklanabilir bir bağlantıya dönüşmeden güvenle paylaşılabilecek şekilde hafifçe değiştirmektir. Güvenlik raporlarında, destek kayıtlarında, sohbet mesajlarında ve tehdit istihbaratında standart bir uygulamadır; bu sözlükteki örnek alan adlarında da aynı yazım kullanılır.

Nasıl çalışır

Defanging, yazılımların bir bağlantıyı tanımak için kullandığı parçaları bozar. Sık kullanılan yazım biçimleri şunlardır:

• http yerine hxxp, https yerine hxxps yazmak;
• noktaları köşeli paranteze almak, örneğin ornekbanka-giris[.]com;
• iki noktayı paranteze almak, örneğin hxxps[:]//;
• e-posta adreslerini kullanici[@]ornek[.]com şeklinde yazmak;
• aynı parantez biçimini IP adreslerine uygulamak, örneğin 192.0.2[.]10.

Böylece e-posta istemcileri, mesajlaşma uygulamaları ve belge düzenleyiciler adresi bağlantıya çevirmez; aksi hâlde zararlı siteyi ziyaret edip saldırganı uyarabilecek otomatik bağlantı önizlemeleri de oluşmaz. Bir analistin çalışan adrese yalıtılmış bir ortamda bilerek ihtiyaç duyduğu durumlarda işlem tersine çevrilir; buna "refanging" denir. Defanging yalnızca bir yazım biçimidir: Sitenin kendisini zararsız hâle getirmez, yalnızca adresin yanlışlıkla açılmasını önler.

Örnek

Temsilî bir örnek: Bir analist bulgusunu ekip arkadaşıyla şöyle paylaşıyor: "Kimlik bilgisi toplayan sayfa hxxps://ornekbanka-giris[.]com/secure/ adresinde yayında, 203.0.113[.]25 üzerinde barındırılıyor." Arkadaşı adresi okuyup kopyalayabiliyor, ancak kimse siteyi yanlışlıkla açmıyor ve sohbet uygulaması sayfa için önizleme isteği göndermiyor. Aynı not daha sonra olay raporuna kopyalandığında da bağlantı tıklanabilir hâle gelmiyor.

Ne zaman kullanılır

• Zararlı adresleri serbest metinle anlatan abuse bildirimlerinde ve destek kayıtlarında.
• Şirket içi sohbetlerde, e-postalarda ve olay notlarında.
• Herkese açık yazılarda, eğitim materyallerinde ve sözlüklerde.
• Şüpheli bağlantı içeren müşteri bildirimlerini başkasına iletirken.

Markalar ne yapabilir

Güvenlik ve destek ekiplerinizde defanging'i varsayılan uygulama hâline getirin, müşterilerinize de şüpheli bağlantıları nasıl güvenle bildirebileceklerini anlatın. Bir istisnayı unutmayın: Bir sağlayıcının abuse bildirimi formunda adres için ayrı bir alan varsa, otomatik işlenebilmesi için oraya gerçek adresi girin ve yalnızca açıklama metninde defanging uygulayın. Phishvoid tüm bildirimlerinde ve yazışmalarında bu yazımı kullanır; şüpheli bir siteyi iki biçimde de bize bildirebilirsiniz.