Przekształć domeny i adresy URL w listy blokowanych hostów, AdGuard, Pi-hole, RPZ, dnsmasq lub Unbound.
Nowe
Konwerter IOC
Działa lokalnieNowe
Samo narzędzie jest w języku angielskim; na tej stronie znajdziesz wyjaśnienia w Twoim języku.
Użyj Konwerter IOC
Jak to działa
Wklej wskaźniki naruszenia bezpieczeństwa lub dowolny tekst. Konwerter ponownie analizuje i klasyfikuje adresy URL, domeny, adresy IP, adresy e-mail oraz skróty, łączy duplikaty i zapisuje je w postaci pakietu STIX 2.1, zdarzenia MISP, pliku CSV, reguł Suricata lub szkieletu YARA.
Działa całkowicie w przeglądarce: żadne wprowadzone dane nie są przesyłane.
Jak korzystać z Konwerter IOC
- Wklej listy IOC lub raport. Wklej listę lub dowolny tekst. Formy zneutralizowane, takie jak hxxps:// i [.], są przywracane do postaci rzeczywistych wartości. Tekst znajdujący się po znaku tabulacji lub znaku „#” w wierszu staje się komentarzem do wskaźników IOC w tym wierszu.
- Wybierz format wyjściowy. Wybierz STIX 2.1, zdarzenie MISP, plik CSV, reguły Suricata lub szkielet reguły YARA. W przypadku MISP (tytuł, poziom zagrożenia, analiza, dystrybucja), Suricata (pierwszy identyfikator SID) oraz YARA (nazwa reguły, autor) pojawiają się dodatkowe pola.
- Wybierz hosty adresów URL. Zaznacz to pole, jeśli chcesz, aby host każdego adresu URL był traktowany jako osobna domena lub adres IP.
- Konwertuj. Naciśnij przycisk „Konwertuj” lub skróty klawiszowe Ctrl+Enter. Późniejsza zmiana formatu lub wyboru z menu MISP powoduje natychmiastową aktualizację wyniku; po wpisaniu tytułu, numeru SID lub nazwy reguły naciśnij klawisz Enter lub przycisk „Konwertuj”.
- Sprawdź przed eksportem. Zapoznaj się ze streszczeniem oraz treścią pola „Nie w tym formacie”, a następnie otwórz wykryte IOC-y, aby sprawdzić każdą wartość i komentarz.
- Kopiować, pobierać lub udostępniać. Skopiuj wynik lub pobierz go pod podaną nazwą pliku. Opcja „Wyślij do…” otwiera go w programie Blocklist Converter lub w generatorze zgłoszeń nadużyć.
Przykład
Pliki IOC z kampanii „Drainer” wraz z komentarzami
hxxps://connect.wallet-verify[.]example/claim # drainer landing page
wallet-verify.example
198.51.100.23
2001:db8::23
support@wallet-verify.example
44d88612fea8a8f36de82e1278abb02f # EICAR test file6 unique IOCs: URL 1 Domain 1 IPv4 1 IPv6 1 E-mail 1 MD5 1
Each IOC is an indicator (spec_version 2.1, indicator_types malicious-activity) with a STIX pattern; the bundle and indicator IDs are random UUIDv4 values.
STIX 2.1 bundle (JSON)
{
"type": "bundle",
"id": "bundle--9bbd66dc-1735-4610-9fa4-1728d2d24160",
"objects": [
{
"type": "indicator",
"spec_version": "2.1",
"id": "indicator--76bed4a1-d4de-40e2-990f-618d4808917c",
"created": "2026-10-20T17:09:59.108Z",
"modified": "2026-10-20T17:09:59.108Z",
"name": "https://connect.wallet-verify.example/claim",
"indicator_types": [
"malicious-activity"
],
"pattern": "[url:value = 'https://connect.wallet-verify.example/claim']",
"pattern_type": "stix",
"pattern_version": "2.1",
"valid_from": "2026-10-20T17:09:59.108Z",
"description": "drainer landing page"
},
{
"type": "indicator",
"spec_version": "2.1",
"id": "indicator--795d119e-5917-4254-a8be-be240749baf6",
"created": "2026-10-20T17:09:59.108Z",
"modified": "2026-10-20T17:09:59.108Z",
"name": "wallet-verify.example",
"indicator_types": [
"malicious-activity"
],
"pattern": "[domain-name:value = 'wallet-verify.example']",
"pattern_type": "stix",
"pattern_version": "2.1",
"valid_from": "2026-10-20T17:09:59.108Z"
},
{
"type": "indicator",
"spec_version": "2.1",
"id": "indicator--b44a4ee9-3bf6-41f7-9b7f-a74eee60b8be",
"created": "2026-10-20T17:09:59.108Z",
…Pakiet STIX 2.1 zawierający sześć wskaźników, na przykład [url:value = 'https://connect.wallet-verify.example/claim'] oraz [file:hashes.MD5 = '44d88612fea8a8f36de82e1278abb02f'], przy czym każdy komentarz stanowi opis wskaźnika.
Co jest sprawdzane
| Sygnał | Co to oznacza |
|---|---|
| Unikalne kody IOC oraz scalone duplikaty | Liczba po deduplikacji, z jednym znacznikiem dla każdego typu, np. URL, domena, IPv4 lub SHA-256. Przetwarzanie zatrzymuje się po osiągnięciu 50 000 wskaźników IOC. |
| Nie w tym formacie | Wpisy, których wybrany format nie może obsłużyć, wraz z uzasadnieniem. Adresy kryptowalutowe nie mają obiektu STIX, Suricata nie posiada reguły wbudowanej dla adresów e-mail ani skrótów, a YARA nie obsługuje algorytmu SHA-512. |
| Komentarze | Dodaj opis STIX, komentarz MISP i CSV, wiersz z symbolem # nad regułami Suricaty oraz adnotację // w pliku YARA, aby inni wiedzieli, dlaczego dany wskaźnik IOC został uwzględniony. |
| Wartości bieżące na wyjściu | Wykazy zawierają rzeczywiste adresy URL i domeny z zachowanymi elementami umożliwiającymi identyfikację, dzięki czemu narzędzia mogą je rozpoznać. Tylko w tabeli znalezionych wskaźników IOC są one przedstawione w postaci unieszkodliwionej; przed wklejeniem do czatu lub wiadomości e-mail należy je unieszkodliwić. |
| Zakres działania Suricata sid | Reguły są numerowane od pierwszej strony, zaczynając od wersji 1. Domeny otrzymują regułę „dns.query” oraz „tls.sni”, które obejmują również subdomeny; reguły dotyczące adresów URL typu https:// są uruchamiane wyłącznie w przypadku ruchu odszyfrowanego. |
| Szkielet YARA | Tekstowe identyfikatory IOC są przekształcane w ciągi znaków ASCII o pełnej szerokości bez rozróżniania wielkości liter, a algorytmy MD5, SHA-1 i SHA-256 stają się warunkami modułu skrótu. Przed użyciem należy zmienić nazwę reguły i ją przetestować. |
| Ustawienia wydarzenia MISP | W zdarzeniu uwzględniane są: tytuł zdarzenia, poziom zagrożenia, analiza i rozkład; zdarzenie jest eksportowane jako nieopublikowane. Adresy Ethereum są eksportowane jako tekst bez flagi IDS. |
| Identyfikatory STIX | Każdy IOC to wskaźnik o strukturze STIX. Identyfikatory pakietów i wskaźników to losowe wartości UUIDv4, więc każda konwersja generuje nowe identyfikatory. |
Więcej przykładów
Reguły Suricaty oparte na trzech wskaźnikach IOC
hxxp://login.example[.]net/verify # landing page
203.0.113.7 # panel
wallet-verify.example3 unikalne identyfikatory IOC i 4 reguły, o numerach od 9000001 do 9000004: reguły http.host i http.uri dla login.example.net/verify, reguła ip dla adresu 203.0.113.7 oraz reguły dns.query i tls.sni dla domeny .wallet-verify.example. Komentarze mają postać # landing page i # panel.
YARA z opublikowanymi wektorami skrótów
e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855 # empty file
cf83e1357eefb8bdf1542850d66d8007d620e4050b5715dc83f4a921d36ce9ce47d0d13c5d85f2b0ff8318d2877eec2f63b931bd47417a81a538327af927da3e
0x000000000000000000000000000000000000dEaDReguła o nazwie PhishDestroy_IOC_, uzupełniona o dzisiejszą datę z importowanym „hash”, adresem Ethereum w postaci ciągu znaków oraz warunkiem hash.sha256 dla pliku pustego o skrócie SHA-256. Nie w tym formacie: 1 × SHA-512: moduł hash YARA nie obsługuje SHA-512.
Plik CSV z zaznaczoną opcją „Dodaj również hosta”
hxxps://pay.example[.]org/invoice # fake invoice
https://pay.example.org/invoice
billing@example[.]org3 unikalne identyfikatory IOC (2 duplikaty połączono). Plik CSV: typ, wartość, komentarz, a następnie adres URL, https://pay.example.org/invoice,fake – faktura, domena, pay.example.org – fałszywa faktura oraz email,billing@example.org z pustym komentarzem.
Najczęściej zadawane pytania
Jakie typy IOC są rozpoznawane i w jaki sposób są mapowane?
Adresy URL, domeny, adresy IPv4 i IPv6 (w tym zakresy CIDR), adresy e-mail, skróty MD5, SHA-1, SHA-256 i SHA-512 oraz adresy Bitcoin i Ethereum wraz ze sprawdzaniem sum kontrolnych. STIX obsługuje wzorce typu url, domain-name, ipv4-addr, ipv6-addr, email-addr oraz file:hashes; MISP obsługuje wzorce typu url, domain lub hostname, ip-dst, email-src oraz typy skrótów.
Co należy sprawdzić przed zaimportowaniem wyniku?
Funkcja wyodrębniania tekstu swobodnego może wykrywać nazwy plików kończące się prawdziwym rozszerzeniem TLD (np. readme.md, archive.zip) lub ciągi szesnastkowe, które nie są skrótami plików, dlatego należy najpierw zapoznać się z tabelą wskaźników IOC. Adresy kryptowalutowe nie mają obiektu STIX, reguły Suricaty obejmują wyłącznie domeny, adresy URL i adresy IP, a moduł hashujący YARA nie obsługuje algorytmu SHA-512, dlatego te wpisy są wykazane jako nieprzekonwertowane.
Czy coś zostało przesłane?
Nie. Analiza i konwersja odbywają się w przeglądarce, a wynik jest kopiowany lub pobierany dopiero na żądanie użytkownika.
Jak dołączyć notatkę do IOC?
Umieść ją w tym samym wierszu po znaku tabulacji lub po spacji, znaku # i spacji. Uwaga dotyczy każdego elementu IOC w tym wierszu. Gdy ta sama wartość pojawia się dwukrotnie, zachowana zostaje pierwsza uwaga; późniejsza uwaga jest stosowana tylko wtedy, gdy w pierwszym wierszu nie było żadnej.
Czy reguły Suricata są gotowe do wdrożenia?
Potraktuj je jako punkt wyjścia. Wybierz zakres adresów, którego Twój czujnik nie wykorzystuje, przetestuj reguły na zarejestrowanym ruchu i pamiętaj, że reguły dotyczące adresów URL dla witryn HTTPS działają tylko wtedy, gdy ruch jest odszyfrowany.
Który format powinienem wybrać?
W przypadku platform analizy zagrożeń należy stosować formaty STIX 2.1 lub MISP, w arkuszach kalkulacyjnych i prostych kanałach danych – format CSV, w czujnikach sieciowych – Suricata, a do skanowania plików – szkielet YARA. W przypadku list DNS lub list blokujących reklamy należy przesłać wynik do narzędzia Blocklist Converter.