IPs aus Text extrahieren

IP-Adressen aus Protokollen oder Textausschnitten extrahieren

Input Text

Include IPv4 addresses

Include IPv6 addresses

Remove duplicates

Show IP types (private/public)

Extracted IPs

Extracted IPs will appear here

Das Tool Extract IPs from Text durchsucht beliebigen unstrukturierten Text -- Logdateien, Konfigurationsausschnitte, Bedrohungsberichte, E-Mails oder Dokumentation -- und extrahiert jede gültige IPv4- und IPv6-Adresse. Fügen Sie einen Textblock ein und erhalten Sie eine saubere, deduplizierte Liste mit jeder eindeutigen Adresse und ihrer Häufigkeit, bereit für Analyse, Sperrung oder Freigabelisten.

IP-Adressextraktion verstehen

Netzwerktechniker und Sicherheitsanalysten verbringen überraschend viel Zeit damit, IP-Adressen aus unstrukturiertem Text zu kopieren. Ein Threat-Intelligence-Bericht listet Indicators of Compromise auf, die in Fließtext eingebettet sind. Ein Incident-Ticket enthält Server-Logs, die inline mit Kommentaren eingefügt wurden. Ein Anbieter sendet eine E-Mail mit den IP-Bereichen seiner API-Endpunkte. In jedem Fall müssen die Adressen sauber herausgezogen werden, damit sie einer Sperrliste hinzugefügt, in ein SIEM eingespeist oder mit dem bestehenden Inventar verglichen werden können.

Dies manuell zu tun ist mühsam und fehleranfällig. Sie durchsuchen den Text, unterscheiden mental IP-Adressen von Versionsnummern (ist 2.4.51 eine Adresse oder eine Version?), kopieren jede einzelne, prüfen auf Duplikate und versuchen, die in URLs eingebetteten oder am Ende einer langen Logzeile verborgenen zu erkennen. Übersehen Sie eine Adresse in einem Bedrohungsbericht, und Sie hinterlassen eine Lücke in Ihrer Abwehr. Nehmen Sie versehentlich eine Versionsnummer auf, und Sie blockieren ein legitimes Ziel oder erzeugen eine unsinnige Firewall-Regel.

Dieses Tool automatisiert den gesamten Prozess. Es verwendet kontextbewusste Mustererkennung, um echte IP-Adressen von ähnlich aussehenden Zeichenketten zu unterscheiden, validiert jede Übereinstimmung anhand der Regeln der entsprechenden Adressfamilie, dedupliziert die Ergebnisse und zählt Vorkommen. Die Ausgabe ist eine saubere Liste, sortiert nach Häufigkeit oder numerischer Reihenfolge, die direkt verwendet werden kann. Es verarbeitet sowohl IPv4 als auch IPv6, einschließlich komprimierter Notation, IPv4-mapped Adressen und Adressen mit CIDR-Präfixen -- alle Formate, die in realen Texten vorkommen.

So extrahieren Sie IP-Adressen aus Text

Fügen Sie beliebigen Text mit IP-Adressen ein oder geben Sie ihn ein (Logzeilen, Konfigurationsdateien, Fließtext, HTML, CSV usw.)
Das Tool durchsucht die Eingabe mit Mustererkennung, die darauf abgestimmt ist, echte IP-Adressen von Versionsnummern und anderen numerischen Zeichenketten zu unterscheiden
Sehen Sie sich die extrahierte Liste eindeutiger IPv4- und IPv6-Adressen an
Filtern Sie optional nach Adressfamilie (nur IPv4, nur IPv6 oder beide) und sortieren Sie nach Häufigkeit oder numerischer Reihenfolge

Extraktionsbeispiele

Eingabe: Apache-Zugriffslog

10.0.0.5 - - [07/Mar/2026:14:22:01 +0000] "GET /api/status HTTP/1.1" 200 1234
192.168.1.100 - - [07/Mar/2026:14:22:02 +0000] "POST /api/data HTTP/1.1" 201 567
10.0.0.5 - - [07/Mar/2026:14:22:03 +0000] "GET /api/health HTTP/1.1" 200 89
2001:db8::face - - [07/Mar/2026:14:22:04 +0000] "GET / HTTP/1.1" 200 4521

Extrahierte Ausgabe:

IP-Adresse	Anzahl
`10.0.0.5`	2
`192.168.1.100`	1
`2001:db8::face`	1

Eingabe: Firewall-Konfigurationsausschnitt

allow from 203.0.113.0/24
deny from 198.51.100.50
allow from 2001:db8:abcd::/48
allow from 10.10.0.0/16
deny from 192.0.2.100

Extrahierte Ausgabe:

IP-Adresse	CIDR
`203.0.113.0`	`/24`
`198.51.100.50`	--
`2001:db8:abcd::`	`/48`
`10.10.0.0`	`/16`
`192.0.2.100`	--

Eingabe: Gemischter Fließtext und technische Daten

The server at 10.0.0.1 reported issues connecting to the database
at 172.16.5.20 on port 5432. The external API endpoint 203.0.113.99
returned HTTP 503. Version 2.4.51 of the application was deployed.

Extrahierte Ausgabe: 10.0.0.1, 172.16.5.20, 203.0.113.99

Beachten Sie, dass 2.4.51 korrekt ausgeschlossen wird -- es ist eine Versionsnummer, keine IP-Adresse.

Wann Sie die IP-Extraktion verwenden sollten

Incident Response -- schnell alle IP-Adressen aus einem Threat-Intelligence-Bericht oder Incident-Log extrahieren, um Sperrlisten zu erstellen
Log-Analyse -- Quell- und Ziel-IPs aus Roh-Logdateien für Häufigkeitsanalyse oder Korrelation extrahieren
Konfigurations-Auditing -- alle referenzierten IP-Adressen aus Firewall-Regeln, DNS-Konfigurationen oder Infrastructure-as-Code-Vorlagen extrahieren
Sicherheitsforschung -- Indicators of Compromise (IOCs) aus Malware-Analyseberichten oder Phishing-E-Mails extrahieren
Migrationsplanung -- alle in der Netzwerkdokumentation erwähnten IP-Adressen sammeln, um ein Inventar aufzubauen
Compliance-Überprüfung -- alle in Audit-Logs referenzierten IP-Adressen für Zugriffsmusteranalyse identifizieren

Wie die IP-Extraktion aus Text funktioniert

Die Extraktions-Engine verwendet gezielte Mustererkennung mit Validierung, um Fehlerkennungen zu vermeiden.

IPv4-Extraktionslogik

Das Tool sucht nach Mustern, die N.N.N.N entsprechen, wobei jedes N eine 1-3-stellige Zahl zwischen 0 und 255 ist. Zusätzliche Validierung umfasst:

Oktett-Bereichsprüfung -- lehnt Übereinstimmungen ab, bei denen ein Oktett 255 überschreitet (z. B. 192.168.1.300 wird nicht extrahiert)
Kontextbewusstsein -- unterscheidet IP-Adressen von Versionsnummern durch Untersuchung umgebender Zeichen; v2.4.51.1 wird nicht als IP behandelt
Grenzerkennung -- stellt sicher, dass die Übereinstimmung nicht Teil einer längeren numerischen Zeichenkette oder in einen Domainnamen eingebettet ist, was zu einer falschen Übereinstimmung führen würde

IPv6-Extraktionslogik

Die IPv6-Erkennung verarbeitet alle Standard-Notationen:

Vollständig expandierte Form (2001:0db8:0000:0000:0000:0000:0000:0001)
Komprimierte Form (2001:db8::1)
Gemischte Notation (::ffff:192.168.1.1)
Link-Local mit Zonen-IDs (fe80::1%eth0)

CIDR-Behandlung

Wenn eine Adresse eine CIDR-Präfixlänge enthält (z. B. 10.0.0.0/24), kann das Tool je nach Ihrer Auswahl entweder nur den Adressteil extrahieren oder die vollständige CIDR-Notation beibehalten.

Vermeidung von Fehlerkennungen

Der schwierigste Aspekt der IP-Extraktion ist die Vermeidung von Fehlerkennungen. Das Muster N.N.N.N trifft auf viele Dinge zu, die keine IP-Adressen sind: Software-Versionsnummern (2.4.51.3), dezimalgetrennte Bezeichner und numerische Codes. Das Tool verwendet mehrere Heuristiken, um falsche Übereinstimmungen zu minimieren:

Zeichenketten mit nur drei numerischen Gruppen werden abgelehnt (sie können kein IPv4 sein)
Kontextschlüsselwörter wie version, v, release in der Nähe der Übereinstimmung verringern die Wahrscheinlichkeit, dass es sich um eine Adresse handelt
Übereinstimmungen, die in längere alphanumerische Zeichenketten eingebettet sind, werden ausgeschlossen
In mehrdeutigen Fällen tendiert das Tool zur Aufnahme, da das Übersehen einer echten Adresse (False Negative) im Sicherheitskontext in der Regel schlimmer ist als die Aufnahme einer Nicht-Adresse (False Positive)

Praktische Tipps zur IP-Extraktion

Bei der Arbeit mit großen Textmengen ist die Häufigkeitszählung eine der wertvollsten Ausgaben. In einer Logdatei sind die am häufigsten vorkommenden IP-Adressen oft die bedeutendsten -- sie können die Quelle eines Angriffs sein, das Ziel wiederholter Anfragen oder ein falsch konfigurierter Client, der einen Endpunkt bombardiert. Sortierung nach Häufigkeit hebt sofort die Adressen hervor, die zuerst untersucht werden sollten, ohne dass Sie Tausende von Logzeilen durchlesen müssen.

Für Threat-Intelligence-Arbeit folgt auf den Extraktionsschritt typischerweise die Anreicherung: Sobald Sie eine saubere Liste von Adressen haben, schlagen Sie jede in Reputationsdatenbanken, Geolokationsdiensten und WHOIS-Einträgen nach. Die deduplizierte Ausgabe dieses Tools ist die ideale Eingabe für diese Anreicherungspipeline. Speisen Sie sie in Ihr SIEM, ein Skript, das VirusTotal oder AbuseIPDB abfragt, oder eine Tabellenkalkulation, in der Sie Indikatoren verfolgen. Je sauberer Ihre Extraktion, desto genauer Ihre Anreicherung.

Seien Sie vorsichtig mit IPv4-Adressen, die in unerwarteten Kontexten erscheinen. Eine Adresse wie 1.2.3.4 in einer Konfigurationsdatei könnte ein Platzhalter, Testwert oder Beispiel sein, keine tatsächlich verwendete Adresse. Die Dokumentationsbereiche (192.0.2.0/24, 198.51.100.0/24, 203.0.113.0/24) sind speziell für Beispiele reserviert. Wenn Sie eine Sperrliste aus extrahierten Adressen erstellen, überprüfen Sie, dass Sie keine Dokumentations- oder Testadressen aufnehmen, die zu unbeabsichtigter Sperrung führen würden.

Häufig gestellte Fragen

Wie unterscheidet das Tool IP-Adressen von Versionsnummern wie 2.4.51?

Das Tool verwendet kontextbewusste Grenzerkennung. Eine Zeichenkette wie 2.4.51 hat nur drei numerische Gruppen (nicht vier) und entspricht daher nicht dem IPv4-Muster. Selbst eine vierteilige Version wie 1.2.3.4 könnte eine gültige IP sein, daher prüft das Tool den umgebenden Kontext -- wenn ein v, version oder ähnliche Schlüsselwörter vorangestellt sind, wird es weniger wahrscheinlich als Adresse behandelt. In mehrdeutigen Fällen wird die Übereinstimmung aufgenommen, da False Negatives im Sicherheitskontext kostspieliger sind als False Positives.

Kann ich nur IPv4- oder nur IPv6-Adressen extrahieren?

Ja. Das Tool bietet Filteroptionen, um nur IPv4-Adressen, nur IPv6-Adressen oder beide zurückzugeben. Dies ist nützlich, wenn Sie familienspezifische Sperrlisten erstellen müssen oder wenn eine Familie für Ihre Analyse irrelevant ist.

Was ist die maximale Textgröße, die das Tool verarbeiten kann?

Das Tool läuft vollständig in Ihrem Browser, daher hängt das Limit vom verfügbaren Arbeitsspeicher ab. Es verarbeitet typische Logdateien (Zehntausende von Zeilen) problemlos. Für sehr große Dateien (Hunderte von Megabyte) erwägen Sie, die Eingabe aufzuteilen oder Kommandozeilen-Tools wie grep -oE für die erste Extraktion zu verwenden.

Extrahiert das Tool Adressen aus URLs wie http://192.168.1.1/path?

Ja. Das Tool erkennt IP-Adressen, die in URLs eingebettet sind, und extrahiert den Adressteil, während es das Protokollpräfix und den Pfad ignoriert. Die Adresse 192.168.1.1 aus http://192.168.1.1/api/v1 würde als eigenständige IPv4-Adresse extrahiert.

Wie werden doppelte Adressen behandelt?

Jede eindeutige Adresse erscheint nur einmal in der Ausgabe, mit einer Anzahl, die zeigt, wie oft sie im Eingabetext gefunden wurde. Diese Deduplizierung verwendet exakten Zeichenkettenvergleich nach Normalisierung, sodass 10.0.0.5, das 50 Mal in einer Logdatei vorkommt, als einzelner Eintrag mit Anzahl 50 erscheint.

Kann ich den ursprünglichen Kontext (Zeilennummer, umgebender Text) jeder extrahierten Adresse beibehalten?

Die primäre Ausgabe ist eine saubere, deduplizierte Liste, die für die Verwendung in Sperrlisten und Konfigurationen optimiert ist. Für kontextuelle Analysen, bei denen Sie sehen müssen, aus welcher Logzeile jede Adresse stammt, verwenden Sie die extrahierte Liste als Filter, um mit Ihrem bevorzugten Log-Analyse-Tool im Originaltext zurückzusuchen.