ドメインやURLを、hosts、AdGuard、Pi-hole、RPZ、dnsmasq、Unbound用のブロックリストに変換します。
新着
IOCコンバーター
ローカルで動作新着
ツール自体は英語ですが、このページではお客様の言語でその使い方を説明しています。
IOCコンバーター を使用してください
機能の説明
侵害指標（IOC）や任意のテキストを貼り付けてください。コンバーターはURL、ドメイン、IPアドレス、メールアドレス、ハッシュのデファングを戻して分類し、重複をまとめて、STIX 2.1バンドル、MISPイベント、CSV、Suricataルール、YARAのひな形として書き出します。
すべてブラウザ上で動作します。入力した内容は一切アップロードされません。
IOCコンバーター の使い方
- IOCやレポートを貼り付ける. リストや任意のテキストを貼り付けます。hxxps://や[.]のようなデファング形式は実際の値に戻されます。行内のタブまたは「 # 」より後のテキストは、その行のIOCのコメントになります。
- 出力形式を選ぶ. STIX 2.1、MISP event、CSV、Suricata rules、YARA rule skeletonから選びます。MISP（タイトル、脅威レベル、分析、配布範囲）、Suricata（最初のsid）、YARA（ルール名、作成者）には追加の欄が表示されます。
- URLのホストをどうするか決める. 各URLのホストもそれぞれ独立したドメインやIPのindicatorにしたい場合は、Also add the host of each URLにチェックを入れます。
- 変換する. Convert（変換）またはCtrl+Enterを押します。その後、形式やMISPのメニューを切り替えると出力はすぐに更新されます。タイトル、sid、ルール名を入力した後は、EnterまたはConvertを押してください。
- エクスポート前に確認する. 概要と、Not in this formatの枠があればそれを読み、IOCs foundを開いてすべての値とコメントを確認します。
- コピー、ダウンロード、引き渡し. 出力をコピーするか、表示されたファイル名でダウンロードします。Send to…はそれをBlocklist ConverterまたはAbuse Report Generatorで開きます。
例
コメント付きのドレイナーキャンペーンのIOC
hxxps://connect.wallet-verify[.]example/claim # drainer landing page
wallet-verify.example
198.51.100.23
2001:db8::23
support@wallet-verify.example
44d88612fea8a8f36de82e1278abb02f # EICAR test file6 unique IOCs: URL 1 Domain 1 IPv4 1 IPv6 1 E-mail 1 MD5 1
Each IOC is an indicator (spec_version 2.1, indicator_types malicious-activity) with a STIX pattern; the bundle and indicator IDs are random UUIDv4 values.
STIX 2.1 bundle (JSON)
{
"type": "bundle",
"id": "bundle--9bbd66dc-1735-4610-9fa4-1728d2d24160",
"objects": [
{
"type": "indicator",
"spec_version": "2.1",
"id": "indicator--76bed4a1-d4de-40e2-990f-618d4808917c",
"created": "2026-10-20T17:09:59.108Z",
"modified": "2026-10-20T17:09:59.108Z",
"name": "https://connect.wallet-verify.example/claim",
"indicator_types": [
"malicious-activity"
],
"pattern": "[url:value = 'https://connect.wallet-verify.example/claim']",
"pattern_type": "stix",
"pattern_version": "2.1",
"valid_from": "2026-10-20T17:09:59.108Z",
"description": "drainer landing page"
},
{
"type": "indicator",
"spec_version": "2.1",
"id": "indicator--795d119e-5917-4254-a8be-be240749baf6",
"created": "2026-10-20T17:09:59.108Z",
"modified": "2026-10-20T17:09:59.108Z",
"name": "wallet-verify.example",
"indicator_types": [
"malicious-activity"
],
"pattern": "[domain-name:value = 'wallet-verify.example']",
"pattern_type": "stix",
"pattern_version": "2.1",
"valid_from": "2026-10-20T17:09:59.108Z"
},
{
"type": "indicator",
"spec_version": "2.1",
"id": "indicator--b44a4ee9-3bf6-41f7-9b7f-a74eee60b8be",
"created": "2026-10-20T17:09:59.108Z",
…6つのindicatorを含むSTIX 2.1バンドルが作成されます。たとえば[url:value = 'https://connect.wallet-verify.example/claim']や[file:hashes.MD5 = '44d88612fea8a8f36de82e1278abb02f']で、各コメントはindicatorのdescriptionになります。
チェック対象
| シグナル | その意味 |
|---|---|
| 一意のIOCと統合された重複 | 重複を除いた後の件数で、URL、Domain、IPv4、SHA-256など種類ごとのバッジが付きます。処理は50,000件のIOCで止まります。 |
| Not in this format | 選んだ形式では保持できない項目と、その理由です。暗号資産のアドレスにはSTIXのオブジェクトがなく、Suricataにはメールアドレスやハッシュのためのインラインルールがなく、YARAにはSHA-512がありません。 |
| コメント | STIXのdescription、MISPとCSVのcomment、Suricataルールの上の#行、YARAの//注記になります。IOCがなぜ記載されているのかを他の人が理解できます。 |
| 出力内の実際の値 | ツールが照合できるよう、エクスポートにはデファングを戻した実際のURLとドメインが含まれます。デファングして表示されるのはIOCs foundの表だけです。チャットやメールに貼り付ける前にデファングしてください。 |
| Suricataのsid範囲 | ルールには最初のsidから番号が振られ、rev:1が付きます。ドメインにはサブドメインにも一致するdns.queryとtls.sniのルールが作られます。https://のURLのルールは、復号されたトラフィックでのみ発動します。 |
| YARAのひな形 | テキストのIOCはascii wide nocaseの文字列に、MD5、SHA-1、SHA-256はhashモジュールの条件になります。使う前にルール名を変更し、テストしてください。 |
| MISPイベントの設定 | イベントのタイトル、脅威レベル、分析、配布範囲はイベントに入り、イベントは未公開の状態でエクスポートされます。EthereumのアドレスはIDSフラグなしのテキストとしてエクスポートされます。 |
| STIXの識別子 | 各IOCはSTIXパターンを持つindicatorになります。バンドルとindicatorのIDはランダムなUUIDv4の値なので、変換のたびに新しいIDになります。 |
その他の例
3つのIOCからのSuricataルール
hxxp://login.example[.]net/verify # landing page
203.0.113.7 # panel
wallet-verify.example一意のIOCが3件、ルールが4件（sid 9000001〜9000004）です。login.example.net/verify用のhttp.hostとhttp.uriのルール1件、203.0.113.7用のipルール1件、.wallet-verify.example用のdns.queryとtls.sniのルールです。コメントは# landing pageと# panelとして表示されます。
公開されているハッシュのベクターを使ったYARA
e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855 # empty file
cf83e1357eefb8bdf1542850d66d8007d620e4050b5715dc83f4a921d36ce9ce47d0d13c5d85f2b0ff8318d2877eec2f63b931bd47417a81a538327af927da3e
0x000000000000000000000000000000000000dEaDPhishDestroy_IOC_に今日の日付を付けた名前のルールで、import "hash"、文字列としてのEthereumアドレス、空ファイルのSHA-256に対するhash.sha256の条件が含まれます。Not in this format：1 × SHA-512（YARAのhashモジュールにはSHA-512がありません）。
Also add the hostにチェックを入れたCSV
hxxps://pay.example[.]org/invoice # fake invoice
https://pay.example.org/invoice
billing@example[.]org一意のIOCが3件（重複2件を統合）。CSVは、type,value,commentの後に、url,https://pay.example.org/invoice,fake invoice、domain,pay.example.org,fake invoice、そしてコメントが空のemail,billing@example.orgとなります。
よくある質問
どの種類のIOCを認識し、どのように対応付けますか？
URL、ドメイン、IPv4とIPv6のアドレス（CIDR範囲も含む）、メールアドレス、MD5、SHA-1、SHA-256、SHA-512のハッシュ、そしてチェックサム確認付きのBitcoinとEthereumのアドレスです。STIXではurl、domain-name、ipv4-addr、ipv6-addr、email-addr、file:hashesのパターンに、MISPではurl、domainまたはhostname、ip-dst、email-src、各ハッシュタイプに対応付けます。
結果をインポートする前に何を確認すべきですか？
自由形式のテキストからの抽出では、実在するTLDで終わるファイル名（readme.md、archive.zip）や、ファイルハッシュではない16進文字列を拾うことがあるため、まずIOCの表を確認してください。暗号資産のアドレスにはSTIXのオブジェクトがなく、Suricataのルールが対象とするのはドメイン、URL、IPだけで、YARAのhashモジュールにはSHA-512がないため、これらの項目は変換されなかったものとして一覧表示されます。
何かアップロードされますか？
いいえ。解析と変換はブラウザ内で行われ、出力はあなたが求めたときにコピーまたはダウンロードされるだけです。
IOCにメモを付けるにはどうすればよいですか？
同じ行で、タブの後、または空白・#・空白の後に書きます。メモはその行のすべてのIOCに適用されます。同じ値が2回出てきた場合は最初のメモが残り、後のメモは最初の行にメモがなかった場合にのみ使われます。
Suricataのルールはそのまま導入できますか？
出発点として扱ってください。センサーで使っていないsidの範囲を選び、記録したトラフィックでルールをテストしてください。また、HTTPSサイトのURLルールは、トラフィックが復号される場所でしか機能しないことに注意してください。
どの形式を選べばよいですか？
脅威インテリジェンスプラットフォームにはSTIX 2.1またはMISP、表計算ソフトや単純なフィードにはCSV、ネットワークセンサーにはSuricata、ファイルのスキャンにはYARAのひな形を使います。DNSや広告ブロックのリストが必要なら、結果をBlocklist Converterに送ってください。