Zet domeinen en URL’s om in blokkeerlijsten voor hosts, AdGuard, Pi-hole, RPZ, dnsmasq of Unbound.
Nieuw
IOC-converter
Draait lokaalNieuw
De tool zelf is in het Engels; op deze pagina wordt uitgelegd hoe deze werkt in uw taal.
Gebruik IOC-converter
Wat het doet
Plak ‘indicators of compromise’ of willekeurige tekst. De converter herformuleert en classificeert URL’s, domeinen, IP-adressen, e-mailadressen en hashes, voegt duplicaten samen en slaat ze op als een STIX 2.1-bundel, een MISP-gebeurtenis, CSV, Suricata-regels of een YARA-skelet.
Het draait volledig in je browser: er wordt niets van wat je invoert geüpload.
Hoe gebruik je IOC-converter
- IOC’s of een rapport plakken. Plak een lijst of willekeurige tekst. Ontkrachtte vormen zoals hxxps:// en [.] worden weer omgezet in echte waarden. Tekst na een tab of " # " op een regel wordt de opmerking bij de IOC’s van die regel.
- Kies het uitvoerformaat. Kies STIX 2.1, een MISP-gebeurtenis, CSV, Suricata-regels of een YARA-regelskelet. Er verschijnen extra velden voor MISP (titel, dreigingsniveau, analyse, verspreiding), Suricata (eerste sid) en YARA (regelnaam, auteur).
- Bepaal de URL-hosts. Vink ook het vakje aan om de host van elke URL toe te voegen als je wilt dat de host van elke URL als afzonderlijke domeinnaam of IP-indicator wordt weergegeven.
- Omrekenen. Druk op ‘Convert’ of Ctrl+Enter. Als je achteraf de opmaak of een MISP-menu wijzigt, wordt de uitvoer onmiddellijk bijgewerkt; nadat je een titel, sid of regelnamen hebt ingevoerd, druk je op Enter of ‘Convert’.
- Controleer vóór het exporteren. Lees de samenvatting en de inhoud van het vakje ‘Niet in dit formaat’, en open vervolgens de gevonden IOC’s om elke waarde en opmerking te controleren.
- Kopiëren, downloaden of doorsturen. Kopieer de uitvoer of download deze met de weergegeven bestandsnaam. Met ‘Verzenden naar…’ wordt het bestand geopend in de Blocklist Converter of de Abuse Report Generator.
Voorbeeld
Drainer-campagne: IOC’s met opmerkingen
hxxps://connect.wallet-verify[.]example/claim # drainer landing page
wallet-verify.example
198.51.100.23
2001:db8::23
support@wallet-verify.example
44d88612fea8a8f36de82e1278abb02f # EICAR test file6 unique IOCs: URL 1 Domain 1 IPv4 1 IPv6 1 E-mail 1 MD5 1
Each IOC is an indicator (spec_version 2.1, indicator_types malicious-activity) with a STIX pattern; the bundle and indicator IDs are random UUIDv4 values.
STIX 2.1 bundle (JSON)
{
"type": "bundle",
"id": "bundle--9bbd66dc-1735-4610-9fa4-1728d2d24160",
"objects": [
{
"type": "indicator",
"spec_version": "2.1",
"id": "indicator--76bed4a1-d4de-40e2-990f-618d4808917c",
"created": "2026-10-20T17:09:59.108Z",
"modified": "2026-10-20T17:09:59.108Z",
"name": "https://connect.wallet-verify.example/claim",
"indicator_types": [
"malicious-activity"
],
"pattern": "[url:value = 'https://connect.wallet-verify.example/claim']",
"pattern_type": "stix",
"pattern_version": "2.1",
"valid_from": "2026-10-20T17:09:59.108Z",
"description": "drainer landing page"
},
{
"type": "indicator",
"spec_version": "2.1",
"id": "indicator--795d119e-5917-4254-a8be-be240749baf6",
"created": "2026-10-20T17:09:59.108Z",
"modified": "2026-10-20T17:09:59.108Z",
"name": "wallet-verify.example",
"indicator_types": [
"malicious-activity"
],
"pattern": "[domain-name:value = 'wallet-verify.example']",
"pattern_type": "stix",
"pattern_version": "2.1",
"valid_from": "2026-10-20T17:09:59.108Z"
},
{
"type": "indicator",
"spec_version": "2.1",
"id": "indicator--b44a4ee9-3bf6-41f7-9b7f-a74eee60b8be",
"created": "2026-10-20T17:09:59.108Z",
…Een STIX 2.1-bundel met zes indicatoren, bijvoorbeeld [url:value = 'https://connect.wallet-verify.example/claim'] en [file:hashes.MD5 = '44d88612fea8a8f36de82e1278abb02f'], waarbij elke opmerking als beschrijving van de indicator fungeert.
Wat er wordt gecontroleerd
| Signaal | Wat dit betekent |
|---|---|
| Unieke IOC’s en duplicaten samengevoegd | Het aantal na ontdubbeling, met één telling per type, zoals URL, domein, IPv4 of SHA-256. De verwerking stopt bij 50.000 IOC’s. |
| Niet in dit formaat | Invoer die niet in het gekozen formaat kan worden opgenomen, met opgave van de reden. Crypto-adressen hebben geen STIX-object, Suricata heeft geen inline-regel voor e-mailadressen of hashes, en YARA ondersteunt geen SHA-512. |
| Opmerkingen | Voeg de STIX-beschrijving, de MISP- en CSV-opmerking, een #-regel boven de Suricata-regels en een //-opmerking in YARA toe, zodat anderen weten waarom een IOC is opgenomen. |
| Live-waarden in de uitvoer | De exports bevatten echte, nog actieve URL’s en domeinen, zodat tools deze kunnen herkennen. Alleen in de tabel met gevonden IOC’s worden ze als inactief weergegeven; maak ze inactief voordat je ze in een chat of e-mail plakt. |
| Suricata sid-reeks | Regels worden vanaf de eerste pagina genummerd met rev:1. Domeinen krijgen een dns.query- en een tls.sni-regel die ook van toepassing zijn op subdomeinen; https:// URL-regels worden alleen geactiveerd bij gedecodeerd verkeer. |
| YARA-skelet | Tekst-IOC’s worden ASCII-brede strings zonder hoofdlettergevoeligheid en MD5, SHA-1 en SHA-256 worden hash-modulevoorwaarden. Hernoem de regel en test deze voordat je hem gebruikt. |
| MISP-evenementinstellingen | De titel, het dreigingsniveau, de analyse en de verspreiding van het voorval worden in het voorval opgenomen, dat ongepubliceerd wordt geëxporteerd. Ethereum-adressen worden als tekst geëxporteerd zonder de IDS-vlag. |
| STIX-identificatiegegevens | Elke IOC is een indicator met een STIX-patroon. De ID’s van bundels en indicatoren zijn willekeurige UUIDv4-waarden, waardoor bij elke conversie nieuwe ID’s worden gegenereerd. |
Nog meer voorbeelden
Suricata-regels op basis van drie IOC’s
hxxp://login.example[.]net/verify # landing page
203.0.113.7 # panel
wallet-verify.example3 unieke IOC’s en 4 regels, sid 9000001 tot en met 9000004: een http.host- en http.uri-regel voor login.example.net/verify, een ip-regel voor 203.0.113.7, en dns.query- en tls.sni-regels voor .wallet-verify.example. De opmerkingen worden weergegeven als # landing page en # panel.
YARA met gepubliceerde hashvectoren
e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855 # empty file
cf83e1357eefb8bdf1542850d66d8007d620e4050b5715dc83f4a921d36ce9ce47d0d13c5d85f2b0ff8318d2877eec2f63b931bd47417a81a538327af927da3e
0x000000000000000000000000000000000000dEaDEen regel met de naam PhishDestroy_IOC_ plus de datum van vandaag met de import "hash", het Ethereum-adres als tekenreeks en een voorwaarde van het type hash.sha256 voor de SHA-256-hash van een leeg bestand. Niet in dit formaat: 1 × SHA-512: de YARA-hashmodule ondersteunt geen SHA-512.
CSV met het vakje ‘Ook de host toevoegen’ aangevinkt
hxxps://pay.example[.]org/invoice # fake invoice
https://pay.example.org/invoice
billing@example[.]org3 unieke IOC's (2 duplicaten samengevoegd). CSV: type, waarde, opmerking, vervolgens url, https://pay.example.org/invoice,fake factuur, domein, pay.example.org, valse factuur en email,billing@example.org met een lege opmerking.
Veelgestelde vragen
Welke IOC-typen worden herkend en hoe worden ze toegewezen?
URL’s, domeinnamen, IPv4- en IPv6-adressen (inclusief CIDR-bereiken), e-mailadressen, MD5-, SHA-1-, SHA-256- en SHA-512-hashes, en Bitcoin- en Ethereum-adressen met checksum-controles. STIX ondersteunt patronen voor url, domain-name, ipv4-addr, ipv6-addr, email-addr en file:hashes; MISP ondersteunt url, domain of hostname, ip-dst, email-src en de hash-types.
Wat moet ik controleren voordat ik het resultaat importeer?
Bij het extraheren van vrije tekst kunnen bestandsnamen worden opgepikt die eindigen op een echte TLD (readme.md, archive.zip) of hex-reeksen die geen bestands-hashes zijn; bekijk daarom eerst de IOC-tabel. Crypto-adressen hebben geen STIX-object, Suricata-regels hebben alleen betrekking op domeinen, URL's en IP-adressen, en de YARA-hashmodule ondersteunt geen SHA-512; daarom worden deze vermeldingen weergegeven als ‘niet geconverteerd’.
Is er iets geüpload?
Nee. Het parseren en converteren gebeurt in je browser, en de uitvoer wordt pas gekopieerd of gedownload wanneer je daar om vraagt.
Hoe voeg ik een notitie toe aan een IOC?
Zet het op dezelfde regel na een tab of na een spatie, #, spatie. De opmerking geldt voor elke IOC op die regel. Als een waarde twee keer voorkomt, blijft de eerste opmerking behouden; een latere opmerking wordt alleen gebruikt als de eerste regel geen opmerking bevatte.
Zijn de Suricata-regels klaar om te worden geïmplementeerd?
Beschouw ze als een uitgangspunt. Kies een poortbereik dat je sensor niet gebruikt, test de regels op geregistreerd verkeer en houd er rekening mee dat URL-regels voor HTTPS-sites alleen werken als het verkeer is ontsleuteld.
Welk formaat moet ik kiezen?
Gebruik STIX 2.1 of MISP voor platforms voor dreigingsinformatie, CSV voor spreadsheets en eenvoudige feeds, Suricata voor netwerksensoren en het YARA-skelet voor het scannen van bestanden. Voor DNS- of advertentieblokkeringslijsten stuur je het resultaat naar de Blocklist Converter.