دامنهها و آدرسهای URL را به فهرست‌های مسدودسازی AdGuard، Pi-hole، RPZ، dnsmasq یا Unbound تبدیل کنید.
جدید
مبدل IOC
اجرای محلیجدید
خود ابزار به زبان انگلیسی است؛ این صفحه آن را به زبان شما توضیح می‌دهد.
از مبدل IOC استفاده کنید
کارکرد
شاخص‌های compromise یا هر متنی را الصاق کنید. مبدل URLها، دامنهها، آدرسهای IP، آدرسهای ایمیل و هش‌ها را بازسازی و دسته‌بندی میکند، موارد تکراری را ادغام کرده و آنها را به صورت بسته STIX 2.1، رویداد MISP، CSV، قواعد Suricata یا اسکلت YARA می‌نویسد.
این کاملاً در مرورگر شما اجرا میشود: هیچ‌یک از اطلاعاتی که وارد می‌کنید بارگذاری نمی‌شود.
چگونه از مبدل IOC استفاده کنیم
- پیست کنید IOCها یا یک گزارش. یک فهرست یا هر متن را الصاق کنید. فرم‌های خنثی‌شده مانند hxxps:// و [.] دوباره به مقادیر واقعی تبدیل میشوند. متنی که پس از تب یا «#» در یک خط قرار گیرد، به کامنت IOCهای آن خط تبدیل میشود.
- فرمت خروجی را انتخاب کنید. STIX 2.1، رویداد MISP، CSV، قواعد Suricata یا اسکلت قاعده YARA را انتخاب کنید. فیلدهای اضافی برای MISP (عنوان، سطح تهدید، تحلیل، توزیع)، Suricata (اولین sid) و YARA (نام قاعده، نویسنده) ظاهر میشوند.
- در مورد میزبان‌های URL تصمیم بگیرید. تیک را بزنید و همچنین میزبان هر URL را اضافه کنید اگر می‌خواهید میزبان هر URL بهعنوان دامنه یا نشانگر IP مستقل خود باشد.
- تبدیل کن. روی Convert یا Ctrl+Enter کلیک کنید. تغییر فرمت یا انتخاب یک منوی MISP بعداً خروجی را بلافاصله به‌روز میکند؛ پس از تایپ عنوان، sid یا نام قاعده، Enter یا Convert را فشار دهید.
- بازبینی پیش از صدور. خلاصه و هر کادر «Not in this format» را بخوانید، سپس IOCهای یافت‌شده را باز کنید تا همه مقادیر و توضیحات را بررسی کنید.
- کپی، دانلود یا انتقال. خروجی را کپی کنید یا آن را با نام فایل نمایش‌داده‌شده دانلود کنید. «ارسال به…» آن را در Blocklist Converter یا Abuse Report Generator باز میکند.
مثال
IOCهای کمپین Drainer با توضیحات
hxxps://connect.wallet-verify[.]example/claim # drainer landing page
wallet-verify.example
198.51.100.23
2001:db8::23
support@wallet-verify.example
44d88612fea8a8f36de82e1278abb02f # EICAR test file6 unique IOCs: URL 1 Domain 1 IPv4 1 IPv6 1 E-mail 1 MD5 1
Each IOC is an indicator (spec_version 2.1, indicator_types malicious-activity) with a STIX pattern; the bundle and indicator IDs are random UUIDv4 values.
STIX 2.1 bundle (JSON)
{
"type": "bundle",
"id": "bundle--9bbd66dc-1735-4610-9fa4-1728d2d24160",
"objects": [
{
"type": "indicator",
"spec_version": "2.1",
"id": "indicator--76bed4a1-d4de-40e2-990f-618d4808917c",
"created": "2026-10-20T17:09:59.108Z",
"modified": "2026-10-20T17:09:59.108Z",
"name": "https://connect.wallet-verify.example/claim",
"indicator_types": [
"malicious-activity"
],
"pattern": "[url:value = 'https://connect.wallet-verify.example/claim']",
"pattern_type": "stix",
"pattern_version": "2.1",
"valid_from": "2026-10-20T17:09:59.108Z",
"description": "drainer landing page"
},
{
"type": "indicator",
"spec_version": "2.1",
"id": "indicator--795d119e-5917-4254-a8be-be240749baf6",
"created": "2026-10-20T17:09:59.108Z",
"modified": "2026-10-20T17:09:59.108Z",
"name": "wallet-verify.example",
"indicator_types": [
"malicious-activity"
],
"pattern": "[domain-name:value = 'wallet-verify.example']",
"pattern_type": "stix",
"pattern_version": "2.1",
"valid_from": "2026-10-20T17:09:59.108Z"
},
{
"type": "indicator",
"spec_version": "2.1",
"id": "indicator--b44a4ee9-3bf6-41f7-9b7f-a74eee60b8be",
"created": "2026-10-20T17:09:59.108Z",
…یک بسته STIX 2.1 با شش شاخص، برای مثال [url:value = 'https://connect.wallet-verify.example/claim'] و [file:hashes.MD5 = '44d88612fea8a8f36de82e1278abb02f']، با هر نظر بهعنوان توضیح شاخص.
آنچه بررسی میکند
| سیگنال | معنای آن |
|---|---|
| IOCهای منحصربه‌فرد و موارد تکراری ادغام شدند. | تعداد پس از حذف تکراری، با نشانه‌ای برای هر نوع مانند URL، دامنه، IPv4 یا SHA-256. پردازش در ۵۰٬۰۰۰ IOC متوقف میشود. |
| در این قالب نیست | ورودی‌هایی که فرمت انتخاب‌شده قادر به نگهداری آنها نیست، همراه با دلیل. آدرسهای کریپتو هیچ شیء STIX ندارند، Suricata هیچ قاعدهٔ درون‌خطی برای آدرسهای ایمیل یا هش‌ها ندارد و YARA هیچ SHA-512 ندارد. |
| نظرات | به توضیح STIX، نظر MISP و CSV، یک خط # بالای قواعد Suricata و یک // یادداشت در YARA تبدیل شوید تا دیگران بدانند چرا یک IOC فهرست شده است. |
| مقادیر زنده در خروجی | صادرات شامل آدرسهای URL و دامنه‌های واقعی و بازسازی‌شده هستند تا ابزارها بتوانند آنها را تطبیق دهند. تنها در جدول یافته‌های IOCs آنها به‌صورت خنثی‌شده نمایش داده میشوند؛ قبل از چسباندن در چت یا ایمیل، آنها را خنثی کنید. |
| محدوده دید سوریکاتا | قوانین از اولین sid با rev:1 شماره‌گذاری میشوند. دامنهها یک قانون dns.query و یک قانون tls.sni دریافت میکنند که زیردامنه‌ها را نیز مطابقت می‌دهد؛ قوانین URL https:// تنها روی ترافیک رمزگشایی‌شده اجرا میشوند. |
| اسکلت یارا | متن IOCها به رشتههای ASCII بدون حساسیت به حروف بزرگ و کوچک تبدیل میشوند و MD5، SHA-1 و SHA-256 به شرایط ماژول هش تبدیل میشوند. قبل از استفاده، قاعده را بازنامه‌گذاری و آزمایش کنید. |
| تنظیمات رویداد MISP | عنوان رویداد، سطح تهدید، تحلیل و توزیع در رویداد وارد میشوند که به‌صورت منتشرنشده صادر میشود. آدرسهای اتریوم به‌صورت متن و بدون پرچم IDS صادر میشوند. |
| شناسه‌های STIX | هر IOC یک شاخص با الگوی STIX است. شناسه‌های بسته و شناسه‌های شاخص مقادیر تصادفی UUIDv4 هستند، بنابراین هر تبدیل شناسه‌های جدیدی ایجاد میکند. |
نمونه‌های بیشتر
قوانین سوریکاتا از سه IOC
hxxp://login.example[.]net/verify # landing page
203.0.113.7 # panel
wallet-verify.example۳ IOC منحصربه‌فرد و ۴ قاعده، sid 9000001 تا 9000004: یک قاعده http.host و http.uri برای login.example.net/verify، یک قاعده ip برای 203.0.113.7، و قواعد dns.query و tls.sni برای .wallet-verify.example. نظرات با # landing page و # panel نمایش داده میشوند.
یارا با بردارهای هش منتشرشده
e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855 # empty file
cf83e1357eefb8bdf1542850d66d8007d620e4050b5715dc83f4a921d36ce9ce47d0d13c5d85f2b0ff8318d2877eec2f63b931bd47417a81a538327af927da3e
0x000000000000000000000000000000000000dEaDیک قاعده با نام PhishDestroy_IOC_ به همراه تاریخ امروز با import "hash"، آدرس اتریوم به صورت رشته و یک شرط hash.sha256 برای SHA-256 فایل خالی. در این فرمت نیست: 1 × SHA-512: ماژول هش YARA فاقد SHA-512 است.
CSV با افزودن میزبان علامت‌زده نیز
hxxps://pay.example[.]org/invoice # fake invoice
https://pay.example.org/invoice
billing@example[.]org۳ IOC منحصربه‌فرد (۲ مورد تکراری ادغام شدند). CSV: type,value,comment، سپس url،https://pay.example.org/invoice,fake، invoice، domain، pay.example.org، fake invoice و email,billing@example.org با comment خالی.
سوالات متداول
کدام انواع IOC شناسایی میشوند و چگونه نگاشت میشوند؟
URLها، دامنهها، آدرسهای IPv4 و IPv6 (همچنین محدودههای CIDR)، آدرسهای ایمیل، هشهای MD5، SHA-1، SHA-256 و SHA-512، و آدرسهای بیتکوین و اتریوم با بررسی چکسام. STIX الگوهای url، domain-name، ipv4-addr، ipv6-addr، email-addr و file:hashes را دریافت میکند؛ MISP الگوهای url، domain یا hostname، ip-dst، email-src و انواع هش را دریافت میکند.
قبل از وارد کردن نتیجه باید چه چیزی را بررسی کنم؟
استخراج متن آزاد میتواند نام فایلهایی را که با یک TLD واقعی (مانند readme.md، archive.zip) پایان مییابند یا رشتههای هگز که هش فایل نیستند را شناسایی کند، بنابراین ابتدا جدول IOC را بررسی کنید. آدرسهای کریپتو هیچ شیء STIX ندارند، قواعد Suricata تنها دامنهها، URLها و IPها را پوشش میدهند و ماژول هش YARA فاقد SHA-512 است، بنابراین آن موارد بهعنوان تبدیلنشده فهرست شدهاند.
آیا چیزی آپلود شده است؟
خیر. تجزیه و تبدیل در مرورگر شما انجام میشود و خروجی تنها زمانی که شما درخواست کنید کپی یا دانلود میشود.
چگونه می‌توانم یادداشتی را به یک IOC ضمیمه کنم؟
آن را در همان خط، پس از یک تب یا پس از یک فاصله، # و یک فاصله قرار دهید. این یادداشت برای هر IOC در آن خط اعمال میشود. وقتی یک مقدار دو بار ظاهر شود، یادداشت اول حفظ میشود؛ یادداشت بعدی تنها در صورتی استفاده میشود که خط اول هیچ یادداشتی نداشته باشد.
آیا قواعد Suricata آماده استقرار هستند؟
آنها را بهعنوان نقطهٔ شروع در نظر بگیرید. یک بازهٔ IP را که سنسور شما از آن استفاده نمیکند انتخاب کنید، قوانین را روی ترافیک ضبطشده آزمایش کنید و به خاطر داشته باشید که قوانین URL برای سایتهای HTTPS تنها در مواردی کار میکنند که ترافیک رمزگشایی شده باشد.
کدام فرمت را باید انتخاب کنم؟
برای پلتفرمهای اطلاعات تهدید از STIX 2.1 یا MISP، برای صفحهگسترده و خوراکهای ساده از CSV، برای حسگرهای شبکه از Suricata و برای اسکن فایلها از اسکلت YARA استفاده کنید. برای لیستهای DNS یا مسدودسازی تبلیغات، نتیجه را به Blocklist Converter ارسال کنید.