도메인과 URL을 hosts, AdGuard, Pi-hole, RPZ, dnsmasq, Unbound 차단 목록으로 바꿉니다.
신규
IOC 변환기
로컬에서 실행신규
도구 자체는 영어로 되어 있지만, 이 페이지에서는 귀하의 언어로 설명해 드립니다.
IOC 변환기을(를) 사용하세요
기능
침해 지표(IOC)나 아무 텍스트를 붙여 넣으세요. 변환기가 URL, 도메인, IP 주소, 이메일 주소, 해시의 디팽을 되돌리고 분류한 뒤 중복을 합쳐 STIX 2.1 번들, MISP 이벤트, CSV, Suricata 규칙 또는 YARA 뼈대로 씁니다.
이 서비스는 전적으로 브라우저에서 실행되며, 사용자가 입력한 내용은 전혀 업로드되지 않습니다.
IOC 변환기 사용 방법
- IOC나 보고서 붙여 넣기. 목록이나 아무 텍스트를 붙여 넣습니다. hxxps://나 [.] 같은 디팽된 형태는 실제 값으로 되돌려집니다. 한 줄에서 탭이나 " # " 뒤의 텍스트는 그 줄 IOC의 주석이 됩니다.
- 출력 형식 선택. STIX 2.1, MISP event, CSV, Suricata rules, YARA rule skeleton 중에서 고릅니다. MISP(제목, 위협 수준, 분석, 배포), Suricata(첫 sid), YARA(규칙 이름, 작성자)에는 추가 필드가 나타납니다.
- URL 호스트 처리 결정. 모든 URL의 호스트를 별도의 도메인 또는 IP 지표로 넣으려면 Also add the host of each URL을 선택합니다.
- 변환. Convert 또는 Ctrl+Enter를 누릅니다. 이후 형식이나 MISP 메뉴를 바꾸면 출력이 즉시 갱신되며, 제목, sid, 규칙 이름을 입력한 뒤에는 Enter나 Convert를 누르세요.
- 내보내기 전 검토. 요약과 Not in this format 상자를 읽은 뒤 IOCs found를 열어 모든 값과 주석을 확인합니다.
- 복사, 다운로드 또는 넘기기. 출력을 복사하거나 표시된 파일 이름으로 다운로드합니다. Send to…는 결과를 Blocklist Converter나 Abuse Report Generator에서 엽니다.
예시
주석이 달린 드레이너 캠페인 IOC
hxxps://connect.wallet-verify[.]example/claim # drainer landing page
wallet-verify.example
198.51.100.23
2001:db8::23
support@wallet-verify.example
44d88612fea8a8f36de82e1278abb02f # EICAR test file6 unique IOCs: URL 1 Domain 1 IPv4 1 IPv6 1 E-mail 1 MD5 1
Each IOC is an indicator (spec_version 2.1, indicator_types malicious-activity) with a STIX pattern; the bundle and indicator IDs are random UUIDv4 values.
STIX 2.1 bundle (JSON)
{
"type": "bundle",
"id": "bundle--9bbd66dc-1735-4610-9fa4-1728d2d24160",
"objects": [
{
"type": "indicator",
"spec_version": "2.1",
"id": "indicator--76bed4a1-d4de-40e2-990f-618d4808917c",
"created": "2026-10-20T17:09:59.108Z",
"modified": "2026-10-20T17:09:59.108Z",
"name": "https://connect.wallet-verify.example/claim",
"indicator_types": [
"malicious-activity"
],
"pattern": "[url:value = 'https://connect.wallet-verify.example/claim']",
"pattern_type": "stix",
"pattern_version": "2.1",
"valid_from": "2026-10-20T17:09:59.108Z",
"description": "drainer landing page"
},
{
"type": "indicator",
"spec_version": "2.1",
"id": "indicator--795d119e-5917-4254-a8be-be240749baf6",
"created": "2026-10-20T17:09:59.108Z",
"modified": "2026-10-20T17:09:59.108Z",
"name": "wallet-verify.example",
"indicator_types": [
"malicious-activity"
],
"pattern": "[domain-name:value = 'wallet-verify.example']",
"pattern_type": "stix",
"pattern_version": "2.1",
"valid_from": "2026-10-20T17:09:59.108Z"
},
{
"type": "indicator",
"spec_version": "2.1",
"id": "indicator--b44a4ee9-3bf6-41f7-9b7f-a74eee60b8be",
"created": "2026-10-20T17:09:59.108Z",
…지표 6개가 담긴 STIX 2.1 번들이 만들어집니다. 예: [url:value = 'https://connect.wallet-verify.example/claim'], [file:hashes.MD5 = '44d88612fea8a8f36de82e1278abb02f']. 각 주석은 지표의 설명(description)이 됩니다.
검증 대상
| 신호 | 그 의미는 무엇인가 |
|---|---|
| 고유 IOC와 병합된 중복 | 중복 제거 후의 개수와 URL, Domain, IPv4, SHA-256 같은 유형별 배지입니다. IOC가 50,000개에 이르면 처리가 멈춥니다. |
| Not in this format | 선택한 형식에 담을 수 없는 항목과 그 이유입니다. 암호화폐 주소에 해당하는 STIX 객체는 없고, Suricata에는 이메일 주소나 해시용 인라인 규칙이 없으며, YARA에는 SHA-512가 없습니다. |
| 주석 | STIX description, MISP 및 CSV comment, Suricata 규칙 위의 # 줄, YARA의 // 메모가 되어, 다른 사람이 IOC가 왜 목록에 있는지 알 수 있게 합니다. |
| 출력 속 실제 값 | 도구가 일치시킬 수 있도록 내보낸 결과에는 디팽을 되돌린 실제 URL과 도메인이 들어 있습니다. IOCs found 표에서만 디팽된 형태로 표시되므로, 채팅이나 이메일에 붙여 넣기 전에 디팽하세요. |
| Suricata sid 범위 | 규칙은 첫 sid부터 rev:1로 번호가 매겨집니다. 도메인에는 하위 도메인까지 일치하는 dns.query 규칙과 tls.sni 규칙이 만들어지며, https:// URL 규칙은 복호화된 트래픽에서만 작동합니다. |
| YARA 뼈대 | 텍스트 IOC는 ascii wide nocase 문자열이 되고, MD5, SHA-1, SHA-256은 hash 모듈 조건이 됩니다. 사용하기 전에 규칙 이름을 바꾸고 테스트하세요. |
| MISP 이벤트 설정 | 이벤트 제목, 위협 수준, 분석, 배포가 이벤트에 들어가며, 이벤트는 게시되지 않은(unpublished) 상태로 내보내집니다. Ethereum 주소는 IDS 플래그 없이 텍스트로 내보내집니다. |
| STIX 식별자 | 각 IOC는 STIX 패턴을 가진 indicator가 됩니다. 번들과 indicator ID는 무작위 UUIDv4 값이므로 변환할 때마다 새 ID가 만들어집니다. |
더 많은 예시
IOC 3개로 만든 Suricata 규칙
hxxp://login.example[.]net/verify # landing page
203.0.113.7 # panel
wallet-verify.example고유 IOC 3개와 규칙 4개, sid 9000001~9000004: login.example.net/verify에 대한 http.host 및 http.uri 규칙, 203.0.113.7에 대한 ip 규칙, .wallet-verify.example에 대한 dns.query 및 tls.sni 규칙입니다. 주석은 # landing page와 # panel로 나타납니다.
공개된 해시 벡터로 만든 YARA
e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855 # empty file
cf83e1357eefb8bdf1542850d66d8007d620e4050b5715dc83f4a921d36ce9ce47d0d13c5d85f2b0ff8318d2877eec2f63b931bd47417a81a538327af927da3e
0x000000000000000000000000000000000000dEaDPhishDestroy_IOC_ 뒤에 오늘 날짜가 붙은 이름의 규칙으로, import "hash", 문자열로 들어간 Ethereum 주소, 빈 파일 SHA-256에 대한 hash.sha256 조건이 포함됩니다. Not in this format: 1 × SHA-512(YARA hash 모듈에는 SHA-512가 없음).
Also add the host를 선택한 CSV
hxxps://pay.example[.]org/invoice # fake invoice
https://pay.example.org/invoice
billing@example[.]org고유 IOC 3개(중복 2개 병합). CSV: type,value,comment 다음에 url,https://pay.example.org/invoice,fake invoice, domain,pay.example.org,fake invoice, 그리고 주석이 비어 있는 email,billing@example.org가 나옵니다.
자주 묻는 질문
어떤 IOC 유형을 인식하며 어떻게 매핑하나요?
URL, 도메인, IPv4 및 IPv6 주소(CIDR 범위 포함), 이메일 주소, MD5, SHA-1, SHA-256, SHA-512 해시, 그리고 체크섬 검사를 거친 Bitcoin 및 Ethereum 주소입니다. STIX에서는 url, domain-name, ipv4-addr, ipv6-addr, email-addr, file:hashes 패턴이 되고, MISP에서는 url, domain 또는 hostname, ip-dst, email-src와 각 해시 유형이 됩니다.
결과를 가져오기 전에 무엇을 확인해야 하나요?
자유 텍스트에서 추출하면 실제 TLD로 끝나는 파일 이름(readme.md, archive.zip)이나 파일 해시가 아닌 16진수 문자열이 잡힐 수 있으므로 먼저 IOC 표를 검토하세요. 암호화폐 주소에 해당하는 STIX 객체는 없고, Suricata 규칙은 도메인, URL, IP만 다루며, YARA hash 모듈에는 SHA-512가 없으므로 이런 항목은 변환되지 않은 것으로 표시됩니다.
업로드되는 것이 있나요?
아니요. 분석과 변환은 브라우저에서 실행되며, 출력은 사용자가 요청할 때만 복사되거나 다운로드됩니다.
IOC에 메모를 붙이려면 어떻게 하나요?
같은 줄에서 탭 뒤, 또는 공백, #, 공백 뒤에 적습니다. 메모는 그 줄의 모든 IOC에 적용됩니다. 같은 값이 두 번 나오면 첫 번째 메모가 유지되며, 나중 메모는 첫 줄에 메모가 없을 때만 사용됩니다.
Suricata 규칙을 바로 배포해도 되나요?
출발점으로 다루세요. 센서가 사용하지 않는 sid 범위를 고르고, 녹화된 트래픽으로 규칙을 테스트하세요. HTTPS 사이트에 대한 URL 규칙은 트래픽이 복호화되는 곳에서만 작동한다는 점도 기억하세요.
어떤 형식을 골라야 하나요?
위협 인텔리전스 플랫폼에는 STIX 2.1이나 MISP, 스프레드시트와 단순 피드에는 CSV, 네트워크 센서에는 Suricata, 파일 검사에는 YARA 뼈대를 사용하세요. DNS 또는 광고 차단 목록이 필요하면 결과를 Blocklist Converter로 보내세요.