Превращайте домены и URL в списки блокировки для hosts, AdGuard, Pi-hole, RPZ, dnsmasq или Unbound.
Новый
Конвертер IOC
Работает локальноНовый
Сам инструмент доступен на английском языке; на этой странице приведено его описание на вашем языке.
Используйте Конвертер IOC
Для чего это нужно
Вставьте индикаторы компрометации или любой текст. Конвертер восстанавливает обезвреженные значения, классифицирует URL, домены, IP-адреса, адреса электронной почты и хеши, объединяет дубликаты и записывает их как пакет STIX 2.1, событие MISP, CSV, правила Suricata или заготовку YARA.
Приложение работает полностью в браузере: никакие введенные вами данные не передаются на сервер.
Как использовать Конвертер IOC
- Вставьте IOC или отчёт. Вставьте список или любой текст. Обезвреженные формы вроде hxxps:// и [.] превращаются обратно в настоящие значения. Текст после табуляции или после « # » (пробел, решётка, пробел) в строке становится комментарием к IOC этой строки.
- Выберите формат вывода. Выберите STIX 2.1, MISP event, CSV, Suricata rules или YARA rule skeleton. Для MISP появляются дополнительные поля (название, уровень угрозы, анализ, распространение), для Suricata — первый sid, для YARA — имя правила и автор.
- Решите, нужны ли хосты из URL. Отметьте Also add the host of each URL (добавить также хост каждого URL), если хотите, чтобы хост каждого URL стал отдельным индикатором домена или IP.
- Преобразуйте. Нажмите Convert или Ctrl+Enter. Смена формата или пункта меню MISP после этого сразу обновляет результат; после ввода названия, sid или имени правила нажмите Enter или Convert.
- Проверьте перед экспортом. Прочитайте сводку и блок Not in this format, если он есть, затем откройте IOCs found, чтобы проверить каждое значение и комментарий.
- Скопируйте, скачайте или передайте дальше. Скопируйте результат или скачайте его с показанным именем файла. Send to… открывает его в Blocklist Converter или Abuse Report Generator.
Пример
IOC кампании дрейнера с комментариями
hxxps://connect.wallet-verify[.]example/claim # drainer landing page
wallet-verify.example
198.51.100.23
2001:db8::23
support@wallet-verify.example
44d88612fea8a8f36de82e1278abb02f # EICAR test file6 unique IOCs: URL 1 Domain 1 IPv4 1 IPv6 1 E-mail 1 MD5 1
Each IOC is an indicator (spec_version 2.1, indicator_types malicious-activity) with a STIX pattern; the bundle and indicator IDs are random UUIDv4 values.
STIX 2.1 bundle (JSON)
{
"type": "bundle",
"id": "bundle--9bbd66dc-1735-4610-9fa4-1728d2d24160",
"objects": [
{
"type": "indicator",
"spec_version": "2.1",
"id": "indicator--76bed4a1-d4de-40e2-990f-618d4808917c",
"created": "2026-10-20T17:09:59.108Z",
"modified": "2026-10-20T17:09:59.108Z",
"name": "https://connect.wallet-verify.example/claim",
"indicator_types": [
"malicious-activity"
],
"pattern": "[url:value = 'https://connect.wallet-verify.example/claim']",
"pattern_type": "stix",
"pattern_version": "2.1",
"valid_from": "2026-10-20T17:09:59.108Z",
"description": "drainer landing page"
},
{
"type": "indicator",
"spec_version": "2.1",
"id": "indicator--795d119e-5917-4254-a8be-be240749baf6",
"created": "2026-10-20T17:09:59.108Z",
"modified": "2026-10-20T17:09:59.108Z",
"name": "wallet-verify.example",
"indicator_types": [
"malicious-activity"
],
"pattern": "[domain-name:value = 'wallet-verify.example']",
"pattern_type": "stix",
"pattern_version": "2.1",
"valid_from": "2026-10-20T17:09:59.108Z"
},
{
"type": "indicator",
"spec_version": "2.1",
"id": "indicator--b44a4ee9-3bf6-41f7-9b7f-a74eee60b8be",
"created": "2026-10-20T17:09:59.108Z",
…Пакет STIX 2.1 с шестью индикаторами, например [url:value = 'https://connect.wallet-verify.example/claim'] и [file:hashes.MD5 = '44d88612fea8a8f36de82e1278abb02f'], где каждый комментарий становится описанием индикатора.
Что проверяется
| Сигнал | Что это означает |
|---|---|
| Уникальные IOC и объединённые дубликаты | Количество после удаления дубликатов со значком для каждого типа, например URL, Domain, IPv4 или SHA-256. Обработка останавливается на 50 000 IOC. |
| Not in this format (нет в этом формате) | Записи, которые выбранный формат не может содержать, с указанием причины. Для криптоадресов нет объекта STIX, в Suricata нет встроенного правила для адресов электронной почты или хешей, а в YARA нет SHA-512. |
| Комментарии | Становятся описанием в STIX, комментарием в MISP и CSV, строкой # над правилами Suricata и примечанием // в YARA, чтобы другие понимали, почему IOC внесён в список. |
| Активные значения в результате | Экспорт содержит настоящие, восстановленные URL и домены, чтобы инструменты могли их сопоставлять. Только таблица IOCs found показывает их в обезвреженном виде; обезвреживайте их перед вставкой в чат или письмо. |
| Диапазон sid для Suricata | Правила нумеруются начиная с первого sid, с rev:1. Для доменов создаются правила dns.query и tls.sni, которые срабатывают и на поддомены; правила для URL https:// срабатывают только на расшифрованном трафике. |
| Заготовка YARA | Текстовые IOC становятся строками ascii wide nocase, а MD5, SHA-1 и SHA-256 — условиями модуля hash. Перед использованием переименуйте и протестируйте правило. |
| Настройки события MISP | Название события, уровень угрозы, анализ и распространение записываются в событие, которое экспортируется неопубликованным. Адреса Ethereum экспортируются как текст без флага IDS. |
| Идентификаторы STIX | Каждый IOC — это индикатор с шаблоном STIX. ID пакета и индикаторов — случайные значения UUIDv4, поэтому каждое преобразование даёт новые ID. |
Еще примеры
Правила Suricata из трёх IOC
hxxp://login.example[.]net/verify # landing page
203.0.113.7 # panel
wallet-verify.example3 уникальных IOC и 4 правила, sid с 9000001 по 9000004: правило http.host и http.uri для login.example.net/verify, правило ip для 203.0.113.7 и правила dns.query и tls.sni для .wallet-verify.example. Комментарии выводятся как # landing page и # panel.
YARA с опубликованными тестовыми хешами
e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855 # empty file
cf83e1357eefb8bdf1542850d66d8007d620e4050b5715dc83f4a921d36ce9ce47d0d13c5d85f2b0ff8318d2877eec2f63b931bd47417a81a538327af927da3e
0x000000000000000000000000000000000000dEaDПравило с именем PhishDestroy_IOC_ плюс сегодняшняя дата, с import "hash", адресом Ethereum в виде строки и условием hash.sha256 для SHA-256 пустого файла. Not in this format: 1 × SHA-512: в модуле hash YARA нет SHA-512.
CSV с отмеченным Also add the host
hxxps://pay.example[.]org/invoice # fake invoice
https://pay.example.org/invoice
billing@example[.]org3 уникальных IOC (объединено 2 дубликата). CSV: type,value,comment, затем url,https://pay.example.org/invoice,fake invoice, domain,pay.example.org,fake invoice и email,billing@example.org с пустым комментарием.
Часто задаваемые вопросы
Какие типы IOC распознаются и как они сопоставляются?
URL, домены, адреса IPv4 и IPv6 (включая диапазоны CIDR), адреса электронной почты, хеши MD5, SHA-1, SHA-256 и SHA-512, а также адреса Bitcoin и Ethereum с проверкой контрольной суммы. В STIX они становятся шаблонами url, domain-name, ipv4-addr, ipv6-addr, email-addr и file:hashes; в MISP — атрибутами url, domain или hostname, ip-dst, email-src и типами хешей.
Что проверить перед импортом результата?
При извлечении из произвольного текста могут попасться имена файлов, оканчивающиеся на настоящий TLD (readme.md, archive.zip), или hex-строки, которые не являются хешами файлов, поэтому сначала просмотрите таблицу IOC. Для криптоадресов нет объекта STIX, правила Suricata охватывают только домены, URL и IP-адреса, а модуль hash в YARA не поддерживает SHA-512, поэтому такие записи перечисляются как непреобразованные.
Загружается ли что-нибудь?
Нет. Разбор и преобразование выполняются в вашем браузере, а результат копируется или скачивается только по вашему запросу.
Как добавить примечание к IOC?
Напишите его в той же строке после табуляции или после пробела, знака # и пробела. Примечание относится ко всем IOC в этой строке. Если значение встречается дважды, сохраняется первое примечание; более позднее используется, только если в первой строке примечания не было.
Готовы ли правила Suricata к развёртыванию?
Считайте их отправной точкой. Выберите диапазон sid, который не использует ваш сенсор, протестируйте правила на записанном трафике и помните, что правила для URL сайтов на HTTPS работают только там, где трафик расшифровывается.
Какой формат выбрать?
STIX 2.1 или MISP — для платформ анализа угроз (threat intelligence), CSV — для таблиц и простых фидов, Suricata — для сетевых сенсоров, а заготовку YARA — для сканирования файлов. Для DNS-списков или списков блокировщиков рекламы отправьте результат в Blocklist Converter.