הפיכת דומיינים וכתובות URL לרשימות חסימה של hosts, AdGuard, Pi-hole, RPZ, dnsmasq או Unbound.
חדש
ממיר IOC
פועל מקומיתחדש
הכלי עצמו הוא באנגלית; דף זה מסביר את אופן השימוש בו בשפתך.
השתמש ב-ממיר IOC
מה זה עושה
הדבק אינדיקטורים לפריצה או כל טקסט אחר. הממיר מזהה ומסווג כתובות URL, דומיינים, כתובות IP, כתובות דואר אלקטרוני ו-hash, מאחד כפילויות ושומר אותן כקובץ STIX 2.1, אירוע MISP, קובץ CSV, כללי Suricata או שלד YARA.
היא פועלת כולה בדפדפן שלך: שום דבר שאתה מזין לא מועלה.
כיצד להשתמש ב-ממיר IOC
- הדבק את ה-IOCs או את הדוח. הדבק רשימה או טקסט כלשהו. צורות מנוטרלות כגון hxxps:// ו-[.] מוחזרות לערכים האמיתיים שלהן. טקסט המופיע אחרי מקש טאב או "#" באותה שורה הופך להערות של ה-IOCs באותה שורה.
- בחר את פורמט הפלט. בחר STIX 2.1, אירוע MISP, CSV, כללי Suricata או שלד כלל YARA. עבור MISP (כותרת, רמת איום, ניתוח, הפצה), Suricata (sid ראשון) ו-YARA (שם הכלל, מחבר) מופיעים שדות נוספים.
- בחרו את מארחי ה-URL. סמן את התיבה "הוסף גם את שם המארח של כל כתובת URL" אם ברצונך ששם המארח של כל כתובת URL יופיע כאינדיקטור נפרד לדומיין או לכתובת IP.
- המר. לחץ על "המר" או על Ctrl+Enter. שינוי הפורמט או תפריט MISP לאחר מכן יעדכן את התוצאה באופן מיידי; לאחר הקלדת כותרת, sid או שם כלל, לחץ על Enter או על "המר".
- בדיקה לפני הייצוא. קרא את הסיכום ואת כל מה שמופיע בתיבה "לא בפורמט זה", ולאחר מכן פתח את ה-IOCs שנמצאו כדי לבדוק כל ערך והערה.
- להעתיק, להוריד או להעביר הלאה. העתק את הפלט או הורד אותו תחת שם הקובץ המוצג. האפשרות "שלח אל…" פותחת אותו בתוכנת Blocklist Converter או ב-Abuse Report Generator.
דוגמה
קובצי IOC של קמפיין Drainer עם הערות
hxxps://connect.wallet-verify[.]example/claim # drainer landing page
wallet-verify.example
198.51.100.23
2001:db8::23
support@wallet-verify.example
44d88612fea8a8f36de82e1278abb02f # EICAR test file6 unique IOCs: URL 1 Domain 1 IPv4 1 IPv6 1 E-mail 1 MD5 1
Each IOC is an indicator (spec_version 2.1, indicator_types malicious-activity) with a STIX pattern; the bundle and indicator IDs are random UUIDv4 values.
STIX 2.1 bundle (JSON)
{
"type": "bundle",
"id": "bundle--9bbd66dc-1735-4610-9fa4-1728d2d24160",
"objects": [
{
"type": "indicator",
"spec_version": "2.1",
"id": "indicator--76bed4a1-d4de-40e2-990f-618d4808917c",
"created": "2026-10-20T17:09:59.108Z",
"modified": "2026-10-20T17:09:59.108Z",
"name": "https://connect.wallet-verify.example/claim",
"indicator_types": [
"malicious-activity"
],
"pattern": "[url:value = 'https://connect.wallet-verify.example/claim']",
"pattern_type": "stix",
"pattern_version": "2.1",
"valid_from": "2026-10-20T17:09:59.108Z",
"description": "drainer landing page"
},
{
"type": "indicator",
"spec_version": "2.1",
"id": "indicator--795d119e-5917-4254-a8be-be240749baf6",
"created": "2026-10-20T17:09:59.108Z",
"modified": "2026-10-20T17:09:59.108Z",
"name": "wallet-verify.example",
"indicator_types": [
"malicious-activity"
],
"pattern": "[domain-name:value = 'wallet-verify.example']",
"pattern_type": "stix",
"pattern_version": "2.1",
"valid_from": "2026-10-20T17:09:59.108Z"
},
{
"type": "indicator",
"spec_version": "2.1",
"id": "indicator--b44a4ee9-3bf6-41f7-9b7f-a74eee60b8be",
"created": "2026-10-20T17:09:59.108Z",
…חבילת STIX 2.1 הכוללת שישה אינדיקטורים, לדוגמה [url:value = 'https://connect.wallet-verify.example/claim'] ו-[file:hashes.MD5 = '44d88612fea8a8f36de82e1278abb02f'], כאשר כל הערה משמשת כתיאור של האינדיקטור.
מה הוא בודק
| אות | מה זה אומר |
|---|---|
| IOCs ייחודיים וכפילויות אוחדו | הספירה לאחר הסרת הכפילויות, עם סמל לכל סוג, כגון URL, דומיין, IPv4 או SHA-256. העיבוד נעצר ב-50,000 IOCs. |
| לא בפורמט הזה | רשומות שהפורמט הנבחר אינו תומך בהן, בצירוף הסיבה. לכתובות קריפטו אין אובייקט STIX, ל-Suricata אין כלל מובנה לכתובות דוא"ל או חשישים, ול-YARA אין SHA-512. |
| הערות | הפוך לתיאור STIX, להערה ב-MISP וב-CSV, לשורה המתחילה ב-# מעל הכללים ב-Suricata ולהערה המתחילה ב-// ב-YARA, כדי שאחרים ידעו מדוע IOC מסוים מופיע ברשימה. |
| ערכים בזמן אמת בתפוקה | הייצואים מכילים כתובות URL ודומיינים אמיתיים, ש"שיניהם" הוסרו, כדי שכלים יוכלו לזהות אותם. רק בטבלת ה-IOCs שנמצאו הם מופיעים ללא "שיניים"; יש להסיר את ה-"שיניים" לפני ההדבקה בצ'אט או בדוא"ל. |
| טווח ה-SID של Suricata | הכללים ממוספרים החל מה-sid הראשון עם rev:1. לכל דומיין יש כלל dns.query וכלל tls.sni, המתאימים גם לתת-דומיינים; כללי ה-URL מסוג https:// מופעלים רק על תעבורה מפוענחת. |
| שלד YARA | IOC-ים טקסטואליים הופכים למחרוזות ASCII רחבות ללא הבחנה בין אותיות גדולות לקטנות, ו-MD5, SHA-1 ו-SHA-256 הופכים לתנאי מודול חשיש. יש לשנות את שם הכלל ולבדוק אותו לפני השימוש. |
| הגדרות אירוע MISP | כותרת האירוע, רמת האיום, הניתוח וההפצה נכללים באירוע, אשר מיוצא כלא-פורסם. כתובות אתריום מיוצאות כטקסט ללא הדגל IDS. |
| מזהים מסוג STIX | כל IOC הוא אינדיקטור בעל תבנית STIX. מזהי החבילה והמזהים של האינדיקטורים הם ערכי UUIDv4 אקראיים, ולכן כל המרה מניבה מזהים חדשים. |
דוגמאות נוספות
כללי Suricata משלושה IOCs
hxxp://login.example[.]net/verify # landing page
203.0.113.7 # panel
wallet-verify.example3 IOC-ים ייחודיים ו-4 כללים, מס' סיד 9000001 עד 9000004: כלל http.host וכלל http.uri עבור login.example.net/verify, כלל ip עבור 203.0.113.7, וכללי dns.query ו-tls.sni עבור .wallet-verify.example. ההערות מופיעות כ-# landing page ו-# panel.
YARA עם וקטורי hash שפורסמו
e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855 # empty file
cf83e1357eefb8bdf1542850d66d8007d620e4050b5715dc83f4a921d36ce9ce47d0d13c5d85f2b0ff8318d2877eec2f63b931bd47417a81a538327af927da3e
0x000000000000000000000000000000000000dEaDכלל בשם PhishDestroy_IOC_ בתוספת התאריך של היום עם "hash" בייבוא, כתובת האת'ריום כמחרוזת ותנאי hash.sha256 עבור ה-SHA-256 של הקובץ הריק. לא בפורמט זה: 1 × SHA-512: למודול ה-hash של YARA אין תמיכה ב-SHA-512.
קובץ CSV עם התיבה "הוסף גם את המארח" מסומנת
hxxps://pay.example[.]org/invoice # fake invoice
https://pay.example.org/invoice
billing@example[.]org3 IOCs ייחודיים (2 כפילויות שאוחדו). קובץ CSV: סוג, ערך, הערה, ולאחר מכן url, https://pay.example.org/invoice,fake invoice, domain, pay.example.org, fake invoice ו-email,billing@example.org עם הערה ריקה.
שאלות נפוצות
אילו סוגי IOC מוכרים וכיצד הם ממופים?
כתובות URL, שמות מתחם, כתובות IPv4 ו-IPv6 (כולל טווחי CIDR), כתובות דוא"ל, חתימות MD5, SHA-1, SHA-256 ו-SHA-512, וכן כתובות ביטקוין ואתריום עם בדיקות סיכום ביקורת. STIX מקבל תבניות של url, domain-name, ipv4-addr, ipv6-addr, email-addr ו-file:hashes; MISP מקבל url, domain או hostname, ip-dst, email-src וסוגי ההאשים.
מה עליי לבדוק לפני ייבוא התוצאה?
חילוץ טקסט חופשי עלול לזהות שמות קבצים המסתיימים ב-TLD אמיתי (readme.md, archive.zip) או מחרוזות הקסדצימליות שאינן חתימות קבצים, ולכן יש לעיין תחילה בטבלת ה-IOC. לכתובות קריפטו אין אובייקט STIX, כללי Suricata מכסים רק דומיינים, כתובות URL וכתובות IP, ולמודול ה-hash של YARA אין SHA-512, ולכן רשומות אלה מופיעות כלא מומרות.
האם הועלה משהו?
לא. הניתוח וההמרה מתבצעים בדפדפן שלך, והתוצאה מועתקת או מורידה רק כאשר אתה מבקש זאת.
כיצד ניתן לצרף הערה ל-IOC?
יש למקם אותה באותה שורה אחרי טאב או אחרי רווח, #, רווח. ההערה חלה על כל IOC באותה שורה. כאשר ערך מופיע פעמיים, ההערה הראשונה נשמרת; הערה מאוחרת יותר משמשת רק אם בשורה הראשונה לא הייתה הערה כלל.
האם כללי ה-Suricata מוכנים לפריסה?
התייחס אליהם כאל נקודת התחלה. בחר טווח תדרים שהחיישן שלך אינו משתמש בו, בדוק את הכללים על תעבורה שהוקלטה, וזכור שכללי URL לאתרי HTTPS פועלים רק כאשר התעבורה מפוענחת.
איזה פורמט עליי לבחור?
השתמשו ב-STIX 2.1 או ב-MISP עבור פלטפורמות מודיעין איומים, ב-CSV עבור גיליונות אלקטרוניים וערוצי מידע פשוטים, ב-Suricata עבור חיישני רשת, ובשלד ה-YARA לסריקת קבצים. עבור רשימות DNS או רשימות חסימת פרסומות, שלחו את התוצאה ל-Blocklist Converter.