AR
ENARDEESFAFRHEHIIDITJAKONLPLPT-BRRORUTHTLTRUKVIZH

البلاغات ومؤشرات IOC

محوّل مؤشرات الاختراق (IOC)

تعمل محليًاجديدة

الأداة نفسها باللغة الإنجليزية؛ وهذه الصفحة تشرحها بلغتك.

استخدم محوّل مؤشرات الاختراق (IOC)

ما الذي يفعله

الصق مؤشرات الاختراق (IOC) أو أي نص. يعيد المحوّل القيم المحيَّدة إلى صيغتها الأصلية ويصنّف روابط URL والنطاقات وعناوين IP وعناوين البريد الإلكتروني والبصمات، ويدمج التكرارات ويكتبها كحزمة STIX 2.1 أو حدث MISP أو CSV أو قواعد Suricata أو هيكل YARA.

يعمل التطبيق بالكامل داخل متصفحك: ولا يتم تحميل أي شيء تدخله.

كيفية استخدام محوّل مؤشرات الاختراق (IOC)

  1. الصق مؤشرات الاختراق أو تقريرًا. الصق قائمة أو أي نص. تُعاد الصيغ المحيَّدة مثل hxxps:// و[.] إلى قيم حقيقية. والنص الذي يلي علامة جدولة أو " # " في سطر ما يصبح تعليقًا لمؤشرات ذلك السطر.
  2. اختر صيغة الإخراج. اختر STIX 2.1 أو MISP event أو CSV أو Suricata rules أو YARA rule skeleton. تظهر حقول إضافية لـ MISP (العنوان، ومستوى التهديد، والتحليل، والتوزيع)، وSuricata (أول sid)، وYARA (اسم القاعدة، والمؤلف).
  3. قرّر بشأن مضيفات الروابط. حدّد Also add the host of each URL (إضافة مضيف كل رابط أيضًا) إذا أردت أن يصبح مضيف كل رابط مؤشرًا مستقلًا كنطاق أو عنوان IP.
  4. حوّل. اضغط Convert (تحويل) أو Ctrl+Enter. تغيير الصيغة أو إحدى قوائم MISP بعد ذلك يحدّث الناتج فورًا؛ وبعد كتابة عنوان أو sid أو اسم قاعدة، اضغط Enter أو Convert.
  5. راجع قبل التصدير. اقرأ الملخص وأي مربع Not in this format، ثم افتح IOCs found لفحص كل قيمة وتعليق.
  6. انسخ أو نزّل أو مرّر. انسخ الناتج أو نزّله باسم الملف المعروض. ويفتحه Send to… في Blocklist Converter أو Abuse Report Generator.

مثال

مؤشرات حملة أداة استنزاف مع تعليقات

الإدخال
hxxps://connect.wallet-verify[.]example/claim  # drainer landing page
wallet-verify.example
198.51.100.23
2001:db8::23
support@wallet-verify.example
44d88612fea8a8f36de82e1278abb02f  # EICAR test file
النتيجة (تم تسجيلها في 2026-10-20)
6 unique IOCs: URL 1 Domain 1 IPv4 1 IPv6 1 E-mail 1 MD5 1

Each IOC is an indicator (spec_version 2.1, indicator_types malicious-activity) with a STIX pattern; the bundle and indicator IDs are random UUIDv4 values.

STIX 2.1 bundle (JSON)
{
  "type": "bundle",
  "id": "bundle--9bbd66dc-1735-4610-9fa4-1728d2d24160",
  "objects": [
    {
      "type": "indicator",
      "spec_version": "2.1",
      "id": "indicator--76bed4a1-d4de-40e2-990f-618d4808917c",
      "created": "2026-10-20T17:09:59.108Z",
      "modified": "2026-10-20T17:09:59.108Z",
      "name": "https://connect.wallet-verify.example/claim",
      "indicator_types": [
        "malicious-activity"
      ],
      "pattern": "[url:value = 'https://connect.wallet-verify.example/claim']",
      "pattern_type": "stix",
      "pattern_version": "2.1",
      "valid_from": "2026-10-20T17:09:59.108Z",
      "description": "drainer landing page"
    },
    {
      "type": "indicator",
      "spec_version": "2.1",
      "id": "indicator--795d119e-5917-4254-a8be-be240749baf6",
      "created": "2026-10-20T17:09:59.108Z",
      "modified": "2026-10-20T17:09:59.108Z",
      "name": "wallet-verify.example",
      "indicator_types": [
        "malicious-activity"
      ],
      "pattern": "[domain-name:value = 'wallet-verify.example']",
      "pattern_type": "stix",
      "pattern_version": "2.1",
      "valid_from": "2026-10-20T17:09:59.108Z"
    },
    {
      "type": "indicator",
      "spec_version": "2.1",
      "id": "indicator--b44a4ee9-3bf6-41f7-9b7f-a74eee60b8be",
      "created": "2026-10-20T17:09:59.108Z",
…

حزمة STIX 2.1 تضم ستة مؤشرات، مثل [url:value = 'https://connect.wallet-verify.example/claim'] و[file:hashes.MD5 = '44d88612fea8a8f36de82e1278abb02f']، مع كل تعليق كوصف للمؤشر.

ما الذي يتحقق منه

إشارةماذا يعني ذلك
المؤشرات الفريدة والتكرارات المدموجةالعدد بعد إزالة التكرار، مع شارة لكل نوع مثل URL أو Domain أو IPv4 أو SHA-256. وتتوقف المعالجة عند 50,000 مؤشر.
Not in this formatالإدخالات التي لا تستطيع الصيغة المختارة استيعابها، مع السبب. لا يوجد كائن STIX لعناوين العملات المشفرة، ولا يملك Suricata قاعدة مباشرة لعناوين البريد الإلكتروني أو البصمات، ولا يدعم YARA SHA-512.
التعليقاتتصبح description في STIX، وcomment في MISP وCSV، وسطر # فوق قواعد Suricata، وملاحظة // في YARA، كي يعرف الآخرون سبب إدراج المؤشر.
قيم حية في الناتجتحتوي الملفات المصدَّرة على روابط ونطاقات حقيقية بصيغتها الأصلية كي تتمكن الأدوات من مطابقتها. ولا يعرضها محيَّدة إلا جدول IOCs found؛ لذا حيّدها قبل لصقها في محادثة أو بريد إلكتروني.
نطاق sid في Suricataتُرقَّم القواعد بدءًا من أول sid مع rev:1. تحصل النطاقات على قاعدة dns.query وقاعدة tls.sni تطابقان النطاقات الفرعية أيضًا؛ وقواعد روابط https:// لا تعمل إلا على حركة المرور المفكوك تشفيرها.
هيكل YARAتصبح المؤشرات النصية سلاسل ascii wide nocase، وتصبح MD5 وSHA-1 وSHA-256 شروطًا في وحدة hash. أعد تسمية القاعدة واختبرها قبل الاستخدام.
إعدادات حدث MISPيدخل عنوان الحدث ومستوى التهديد والتحليل والتوزيع في الحدث، الذي يُصدَّر غير منشور. وتُصدَّر عناوين Ethereum كنص بلا علامة IDS.
معرّفات STIXكل مؤشر اختراق هو indicator بنمط STIX. ومعرّفات الحزمة والمؤشرات قيم UUIDv4 عشوائية، لذا يعطي كل تحويل معرّفات جديدة.

المزيد من الأمثلة

قواعد Suricata من ثلاثة مؤشرات

الإدخال
hxxp://login.example[.]net/verify # landing page
203.0.113.7  # panel
wallet-verify.example
النتيجة

3 مؤشرات فريدة و4 قواعد، من sid 9000001 إلى 9000004: قاعدة http.host وhttp.uri لـ login.example.net/verify، وقاعدة ip لـ 203.0.113.7، وقاعدتا dns.query وtls.sni لـ .wallet-verify.example. وتظهر التعليقات بالشكل # landing page و# panel.

YARA مع متجهات بصمات منشورة

الإدخال
e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855  # empty file
cf83e1357eefb8bdf1542850d66d8007d620e4050b5715dc83f4a921d36ce9ce47d0d13c5d85f2b0ff8318d2877eec2f63b931bd47417a81a538327af927da3e
0x000000000000000000000000000000000000dEaD
النتيجة

قاعدة باسم PhishDestroy_IOC_ متبوعًا بتاريخ اليوم مع import "hash"، وعنوان Ethereum كسلسلة، وشرط hash.sha256 لبصمة SHA-256 للملف الفارغ. Not in this format: 1 × SHA-512: the YARA hash module has no SHA-512.

CSV مع تحديد Also add the host

الإدخال
hxxps://pay.example[.]org/invoice # fake invoice
https://pay.example.org/invoice
billing@example[.]org
النتيجة

3 مؤشرات فريدة (دُمج تكراران). CSV: type,value,comment، ثم url,https://pay.example.org/invoice,fake invoice وdomain,pay.example.org,fake invoice وemail,billing@example.org مع تعليق فارغ.

الأسئلة الشائعة

ما أنواع مؤشرات الاختراق التي يتعرّف عليها، وكيف تُربط؟

روابط URL، والنطاقات، وعناوين IPv4 وIPv6 (ونطاقات CIDR أيضًا)، وعناوين البريد الإلكتروني، وبصمات MD5 وSHA-1 وSHA-256 وSHA-512، وعناوين Bitcoin وEthereum مع فحص المجموع الاختباري. يحصل STIX على أنماط url وdomain-name وipv4-addr وipv6-addr وemail-addr وfile:hashes؛ ويحصل MISP على url وdomain أو hostname وip-dst وemail-src وأنواع البصمات.

ما الذي يجب أن أتحقق منه قبل استيراد النتيجة؟

قد يلتقط الاستخراج من النص الحر أسماء ملفات تنتهي بنطاق علوي حقيقي (readme.md وarchive.zip) أو سلاسل ست عشرية ليست بصمات ملفات، لذا راجع جدول مؤشرات الاختراق أولًا. لا يوجد كائن STIX لعناوين العملات المشفرة، ولا تغطي قواعد Suricata إلا النطاقات وروابط URL وعناوين IP، ولا تدعم وحدة hash في YARA SHA-512، لذا تُدرج هذه الإدخالات على أنها غير محوَّلة.

هل يُرفع أي شيء؟

لا. يجري التحليل والتحويل داخل متصفحك، ولا يُنسخ الناتج أو يُنزَّل إلا عندما تطلب ذلك.

كيف أرفق ملاحظة بمؤشر اختراق؟

ضعها في السطر نفسه بعد علامة جدولة أو بعد مسافة ثم # ثم مسافة. تنطبق الملاحظة على كل مؤشر في ذلك السطر. وعندما تظهر قيمة مرتين، تُبقى الملاحظة الأولى؛ ولا تُستخدم ملاحظة لاحقة إلا إذا لم يكن في السطر الأول ملاحظة.

هل قواعد Suricata جاهزة للنشر؟

تعامل معها كنقطة بداية. اختر نطاق sid لا يستخدمه المستشعر لديك، واختبر القواعد على حركة مرور مسجلة، وتذكّر أن قواعد روابط مواقع HTTPS لا تعمل إلا حيث تكون حركة المرور مفكوكة التشفير.

أي صيغة أختار؟

استخدم STIX 2.1 أو MISP لمنصات استخبارات التهديدات، وCSV لجداول البيانات والتغذيات البسيطة، وSuricata لمستشعرات الشبكة، وهيكل YARA لفحص الملفات. أما لقوائم DNS أو حجب الإعلانات فأرسل النتيجة إلى Blocklist Converter.

شرح المصطلحات

أبحاث PhishDestroy

الخطوة التالية: محوّل قوائم الحظر — حوّل النطاقات وروابط URL إلى قوائم حظر hosts أو AdGuard أو Pi-hole أو RPZ أو dnsmasq أو Unbound.

تصفح جميع الأدوات 161