Trasforma domini e URL in blocklist hosts, AdGuard, Pi-hole, RPZ, dnsmasq o Unbound.
Nuovo
Convertitore di IOC
Funziona in localeNuovo
Lo strumento è in inglese; questa pagina ne fornisce una spiegazione nella tua lingua.
Usa Convertitore di IOC
Cosa fa
Incolla indicatori di compromissione o qualsiasi testo. Il convertitore ripristina la forma normale dei valori defanged e classifica URL, domini, indirizzi IP, indirizzi e-mail e hash, unisce i duplicati e li scrive come bundle STIX 2.1, evento MISP, CSV, regole Suricata o scheletro YARA.
Funziona interamente nel browser: nulla di ciò che inserisci viene caricato online.
Come utilizzare Convertitore di IOC
- Incolla IOC o un report. Incolla un elenco o qualsiasi testo. Le forme defanged come hxxps:// e [.] vengono riconvertite in valori reali. Il testo dopo una tabulazione o dopo " # " su una riga diventa il commento degli IOC di quella riga.
- Scegli il formato di output. Scegli STIX 2.1, MISP event, CSV, Suricata rules o YARA rule skeleton. Compaiono campi aggiuntivi per MISP (titolo, livello di minaccia, analisi, distribuzione), Suricata (primo sid) e YARA (nome della regola, autore).
- Decidi sugli host degli URL. Seleziona Also add the host of each URL se vuoi che l'host di ogni URL diventi un indicatore di dominio o IP a sé.
- Converti. Premi Convert o Ctrl+Invio. Cambiare in seguito il formato o un menu MISP aggiorna subito l'output; dopo aver digitato un titolo, un sid o il nome di una regola, premi Invio o Convert.
- Controlla prima di esportare. Leggi il riepilogo e l'eventuale riquadro Not in this format, poi apri IOCs found per controllare ogni valore e commento.
- Copia, scarica o passa ad altri strumenti. Copia l'output o scaricalo con il nome di file indicato. Send to… lo apre in Blocklist Converter o in Abuse Report Generator.
Esempio
IOC di una campagna drainer con commenti
hxxps://connect.wallet-verify[.]example/claim # drainer landing page
wallet-verify.example
198.51.100.23
2001:db8::23
support@wallet-verify.example
44d88612fea8a8f36de82e1278abb02f # EICAR test file6 unique IOCs: URL 1 Domain 1 IPv4 1 IPv6 1 E-mail 1 MD5 1
Each IOC is an indicator (spec_version 2.1, indicator_types malicious-activity) with a STIX pattern; the bundle and indicator IDs are random UUIDv4 values.
STIX 2.1 bundle (JSON)
{
"type": "bundle",
"id": "bundle--9bbd66dc-1735-4610-9fa4-1728d2d24160",
"objects": [
{
"type": "indicator",
"spec_version": "2.1",
"id": "indicator--76bed4a1-d4de-40e2-990f-618d4808917c",
"created": "2026-10-20T17:09:59.108Z",
"modified": "2026-10-20T17:09:59.108Z",
"name": "https://connect.wallet-verify.example/claim",
"indicator_types": [
"malicious-activity"
],
"pattern": "[url:value = 'https://connect.wallet-verify.example/claim']",
"pattern_type": "stix",
"pattern_version": "2.1",
"valid_from": "2026-10-20T17:09:59.108Z",
"description": "drainer landing page"
},
{
"type": "indicator",
"spec_version": "2.1",
"id": "indicator--795d119e-5917-4254-a8be-be240749baf6",
"created": "2026-10-20T17:09:59.108Z",
"modified": "2026-10-20T17:09:59.108Z",
"name": "wallet-verify.example",
"indicator_types": [
"malicious-activity"
],
"pattern": "[domain-name:value = 'wallet-verify.example']",
"pattern_type": "stix",
"pattern_version": "2.1",
"valid_from": "2026-10-20T17:09:59.108Z"
},
{
"type": "indicator",
"spec_version": "2.1",
"id": "indicator--b44a4ee9-3bf6-41f7-9b7f-a74eee60b8be",
"created": "2026-10-20T17:09:59.108Z",
…Un bundle STIX 2.1 con sei indicatori, ad esempio [url:value = 'https://connect.wallet-verify.example/claim'] e [file:hashes.MD5 = '44d88612fea8a8f36de82e1278abb02f'], con ogni commento come descrizione dell'indicatore.
Cosa verifica
| Segnale | Cosa significa |
|---|---|
| IOC unici e duplicati uniti | Il conteggio dopo la deduplicazione, con un badge per tipo come URL, Domain, IPv4 o SHA-256. L'elaborazione si ferma a 50.000 IOC. |
| Not in this format | Le voci che il formato scelto non può contenere, con il motivo. Gli indirizzi crypto non hanno un oggetto STIX, Suricata non ha una regola inline per indirizzi e-mail o hash, e YARA non supporta SHA-512. |
| Commenti | Diventano la descrizione STIX, il commento MISP e CSV, una riga # sopra le regole Suricata e una nota // in YARA, così altri sanno perché un IOC è elencato. |
| Valori attivi nell'output | Gli export contengono URL e domini reali, in forma normale, così gli strumenti possono riconoscerli. Solo la tabella IOCs found li mostra in forma defanged; rendili defanged prima di incollarli in chat o in un'e-mail. |
| Intervallo di sid Suricata | Le regole sono numerate a partire dal primo sid con rev:1. I domini ricevono una regola dns.query e una tls.sni che corrispondono anche ai sottodomini; le regole per URL https:// scattano solo sul traffico decifrato. |
| Scheletro YARA | Gli IOC testuali diventano stringhe ascii wide nocase e MD5, SHA-1 e SHA-256 diventano condizioni del modulo hash. Rinomina e testa la regola prima di usarla. |
| Impostazioni dell'evento MISP | Titolo, livello di minaccia, analisi e distribuzione finiscono nell'evento, che viene esportato non pubblicato. Gli indirizzi Ethereum vengono esportati come testo senza il flag IDS. |
| Identificatori STIX | Ogni IOC è un indicator con un pattern STIX. Gli ID del bundle e degli indicator sono valori UUIDv4 casuali, quindi ogni conversione produce nuovi ID. |
Altri esempi
Regole Suricata da tre IOC
hxxp://login.example[.]net/verify # landing page
203.0.113.7 # panel
wallet-verify.example3 IOC unici e 4 regole, sid da 9000001 a 9000004: una regola http.host e http.uri per login.example.net/verify, una regola ip per 203.0.113.7, e regole dns.query e tls.sni per .wallet-verify.example. I commenti compaiono come # landing page e # panel.
YARA con vettori hash pubblicati
e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855 # empty file
cf83e1357eefb8bdf1542850d66d8007d620e4050b5715dc83f4a921d36ce9ce47d0d13c5d85f2b0ff8318d2877eec2f63b931bd47417a81a538327af927da3e
0x000000000000000000000000000000000000dEaDUna regola chiamata PhishDestroy_IOC_ seguito dalla data odierna, con import "hash", l'indirizzo Ethereum come stringa e una condizione hash.sha256 per lo SHA-256 del file vuoto. Not in this format: 1 × SHA-512: il modulo hash di YARA non supporta SHA-512.
CSV con Also add the host selezionato
hxxps://pay.example[.]org/invoice # fake invoice
https://pay.example.org/invoice
billing@example[.]org3 IOC unici (2 duplicati uniti). CSV: type,value,comment, poi url,https://pay.example.org/invoice,fake invoice, domain,pay.example.org,fake invoice ed email,billing@example.org con un commento vuoto.
Domande frequenti
Quali tipi di IOC vengono riconosciuti e come vengono mappati?
URL, domini, indirizzi IPv4 e IPv6 (anche intervalli CIDR), indirizzi e-mail, hash MD5, SHA-1, SHA-256 e SHA-512, e indirizzi Bitcoin ed Ethereum con verifica del checksum. STIX riceve pattern url, domain-name, ipv4-addr, ipv6-addr, email-addr e file:hashes; MISP riceve url, domain o hostname, ip-dst, email-src e i tipi di hash.
Cosa devo controllare prima di importare il risultato?
L'estrazione da testo libero può catturare nomi di file che terminano con un TLD reale (readme.md, archive.zip) o stringhe esadecimali che non sono hash di file, quindi esamina prima la tabella degli IOC. Gli indirizzi crypto non hanno un oggetto STIX, le regole Suricata coprono solo domini, URL e IP, e il modulo hash di YARA non supporta SHA-512, quindi quelle voci vengono elencate come non convertite.
Viene caricato qualcosa?
No. Analisi e conversione avvengono nel tuo browser, e l'output viene copiato o scaricato solo quando lo chiedi.
Come allego una nota a un IOC?
Scrivila sulla stessa riga dopo una tabulazione oppure dopo spazio, #, spazio. La nota vale per ogni IOC di quella riga. Quando un valore compare due volte, viene mantenuta la prima nota; una nota successiva viene usata solo se la prima riga non ne aveva.
Le regole Suricata sono pronte per l'uso?
Considerale un punto di partenza. Scegli un intervallo di sid che il tuo sensore non usa, testa le regole su traffico registrato, e ricorda che le regole per URL di siti HTTPS funzionano solo dove il traffico viene decifrato.
Quale formato devo scegliere?
Usa STIX 2.1 o MISP per le piattaforme di threat intelligence, CSV per fogli di calcolo e feed semplici, Suricata per i sensori di rete, e lo scheletro YARA per la scansione di file. Per liste DNS o di blocco della pubblicità, invia il risultato a Blocklist Converter.