TH
ENARDEESFAFRHEHIIDITJAKONLPLPT-BRRORUTHTLTRUKVIZH

การรายงานและ IOC

ตัวแปลง IOC

ทำงานในเครื่องใหม่

เครื่องมือนี้ใช้ภาษาอังกฤษ; หน้านี้อธิบายด้วยภาษาของคุณ

ใช้ตัวแปลง IOC

หน้าที่ของมันคืออะไร

วางตัวบ่งชี้การถูกบุกรุก (Indicators of Compromise) หรือข้อความใด ๆ ลงในช่องนี้ เครื่องมือแปลงนี้จะจัดรูปแบบและจัดประเภท URL, โดเมน, ที่อยู่ IP, ที่อยู่อีเมล และแฮช รวมข้อมูลที่ซ้ำกัน และบันทึกผลลัพธ์เป็น STIX 2.1 bundle, MISP event, CSV, กฎ Suricata หรือโครงร่าง YARA

ระบบนี้ทำงานทั้งหมดในเบราว์เซอร์ของคุณ: ข้อมูลที่คุณป้อนจะไม่ถูกส่งขึ้นเซิร์ฟเวอร์เลย

วิธีใช้ตัวแปลง IOC

  1. วาง IOC หรือรายงาน. วางรายการหรือข้อความใด ๆ ลงมา รูปแบบที่ถูกตัดส่วนเกิน เช่น hxxps:// และ [.] จะถูกแปลงกลับเป็นค่าจริง ข้อความที่อยู่หลังเครื่องหมายแท็บหรือ " # " ในบรรทัดนั้นจะกลายเป็นคำอธิบายประกอบของ IOCs ในบรรทัดนั้น
  2. เลือกรูปแบบผลลัพธ์. เลือก STIX 2.1, เหตุการณ์ MISP, CSV, กฎ Suricata หรือโครงร่างกฎ YARA จะมีฟิลด์เพิ่มเติมปรากฏขึ้นสำหรับ MISP (ชื่อ, ระดับภัยคุกคาม, การวิเคราะห์, การกระจาย), Suricata (SID แรก) และ YARA (ชื่อกฎ, ผู้เขียน)
  3. เลือกผู้ให้บริการ URL. ทำเครื่องหมายถูก นอกจากนี้ ให้เพิ่มชื่อโฮสต์ของ URL แต่ละอันด้วย หากต้องการให้ชื่อโฮสต์ของ URL แต่ละอันเป็นตัวบ่งชี้โดเมนหรือ IP ของตัวเอง
  4. แปลง. กดปุ่ม Convert หรือ Ctrl+Enter การเปลี่ยนรูปแบบหรือเมนู MISP หลังจากนั้นจะทำให้ผลลัพธ์อัปเดตทันที หลังจากพิมพ์ชื่อเรื่อง sid หรือชื่อกฎแล้ว ให้กด Enter หรือ Convert
  5. ตรวจสอบก่อนส่งออก. อ่านบทสรุปและส่วนที่อยู่ในช่อง “Not in this format” แล้วเปิด IOCs ที่พบเพื่อตรวจสอบทุกค่าและคำอธิบาย
  6. คัดลอก ดาวน์โหลด หรือส่งต่อ. คัดลอกผลลัพธ์หรือดาวน์โหลดด้วยชื่อไฟล์ที่แสดงไว้ ตัวเลือก “ส่งไปยัง…” จะเปิดไฟล์ใน Blocklist Converter หรือ Abuse Report Generator

ตัวอย่าง

ส่งข้อมูล IOC ของแคมเปญ Drainer พร้อมคำอธิบาย

ข้อมูลเข้า
hxxps://connect.wallet-verify[.]example/claim  # drainer landing page
wallet-verify.example
198.51.100.23
2001:db8::23
support@wallet-verify.example
44d88612fea8a8f36de82e1278abb02f  # EICAR test file
ผลลัพธ์ (บันทึกเมื่อวันที่2026-10-20)
6 unique IOCs: URL 1 Domain 1 IPv4 1 IPv6 1 E-mail 1 MD5 1

Each IOC is an indicator (spec_version 2.1, indicator_types malicious-activity) with a STIX pattern; the bundle and indicator IDs are random UUIDv4 values.

STIX 2.1 bundle (JSON)
{
  "type": "bundle",
  "id": "bundle--9bbd66dc-1735-4610-9fa4-1728d2d24160",
  "objects": [
    {
      "type": "indicator",
      "spec_version": "2.1",
      "id": "indicator--76bed4a1-d4de-40e2-990f-618d4808917c",
      "created": "2026-10-20T17:09:59.108Z",
      "modified": "2026-10-20T17:09:59.108Z",
      "name": "https://connect.wallet-verify.example/claim",
      "indicator_types": [
        "malicious-activity"
      ],
      "pattern": "[url:value = 'https://connect.wallet-verify.example/claim']",
      "pattern_type": "stix",
      "pattern_version": "2.1",
      "valid_from": "2026-10-20T17:09:59.108Z",
      "description": "drainer landing page"
    },
    {
      "type": "indicator",
      "spec_version": "2.1",
      "id": "indicator--795d119e-5917-4254-a8be-be240749baf6",
      "created": "2026-10-20T17:09:59.108Z",
      "modified": "2026-10-20T17:09:59.108Z",
      "name": "wallet-verify.example",
      "indicator_types": [
        "malicious-activity"
      ],
      "pattern": "[domain-name:value = 'wallet-verify.example']",
      "pattern_type": "stix",
      "pattern_version": "2.1",
      "valid_from": "2026-10-20T17:09:59.108Z"
    },
    {
      "type": "indicator",
      "spec_version": "2.1",
      "id": "indicator--b44a4ee9-3bf6-41f7-9b7f-a74eee60b8be",
      "created": "2026-10-20T17:09:59.108Z",
…

แพ็กเกจ STIX 2.1 ที่มีตัวชี้วัดหกตัว เช่น [url:value = 'https://connect.wallet-verify.example/claim'] และ [file:hashes.MD5 = '44d88612fea8a8f36de82e1278abb02f'] โดยแต่ละความคิดเห็นจะทำหน้าที่เป็นคำอธิบายของตัวชี้วัด

สิ่งที่ระบบตรวจสอบ

สัญญาณความหมายของคำนี้คืออะไร
IOCs ที่ไม่ซ้ำกันและข้อมูลที่ซ้ำกันถูกรวมเข้าด้วยกันจำนวนหลังการกำจัดข้อมูลซ้ำ โดยแสดงป้ายกำกับตามประเภท เช่น URL, Domain, IPv4 หรือ SHA-256 การประมวลผลจะหยุดเมื่อถึง 50,000 IOCs.
ไม่ใช่ในรูปแบบนี้รายการที่รูปแบบที่เลือกไม่สามารถรองรับได้ พร้อมเหตุผล ที่อยู่คริปโตไม่มีอ็อบเจ็กต์ STIX Suricata ไม่มีกฎแบบอินไลน์สำหรับที่อยู่อีเมลหรือแฮช และ YARA ไม่มี SHA-512
ความคิดเห็นให้กลายเป็นคำอธิบายใน STIX, คำอธิบายใน MISP และ CSV, บรรทัด # ที่อยู่เหนือกฎ Suricata และหมายเหตุ // ใน YARA เพื่อให้ผู้อื่นทราบว่าทำไม IOC ดังกล่าวจึงถูกระบุไว้
ค่าที่อัปเดตแบบเรียลไทม์ในผลลัพธ์ข้อมูลการส่งออกประกอบด้วย URL และโดเมนที่ยังไม่ถูกปรับแต่ง ดังนั้นเครื่องมือต่าง ๆ จึงสามารถจับคู่ได้ เฉพาะตาราง IOCs ที่พบเท่านั้นที่แสดงข้อมูลที่ยังไม่ถูกปรับแต่ง; โปรดปรับแต่งก่อนที่จะคัดลอกและวางลงในแชทหรืออีเมล
พื้นที่กระจายพันธุ์ของซูริคาตากฎจะถูกกำหนดหมายเลขตั้งแต่หน้าแรกด้วย rev:1 โดเมนจะได้รับกฎ dns.query และ tls.sni ซึ่งกฎเหล่านี้ยังตรงกับซับโดเมนด้วย; กฎ URL แบบ https:// จะทำงานเฉพาะกับข้อมูลที่ถอดรหัสแล้วเท่านั้น
โครงกระดูก YARAIOC แบบข้อความจะกลายเป็นสตริง ASCII แบบกว้างและไม่แยกตัวอักษรใหญ่-เล็ก ส่วน MD5, SHA-1 และ SHA-256 จะกลายเป็นเงื่อนไขของโมดูลแฮช ให้เปลี่ยนชื่อและทดสอบกฎก่อนใช้งาน
การตั้งค่ากิจกรรม MISPชื่อเหตุการณ์ ระดับภัยคุกคาม การวิเคราะห์ และการกระจายข้อมูลจะถูกบันทึกไว้ในเหตุการณ์ ซึ่งจะถูกส่งออกโดยไม่เผยแพร่ ที่อยู่ Ethereum จะถูกส่งออกเป็นข้อความโดยไม่รวมธง IDS
ตัวระบุ STIXIOC แต่ละตัวเป็นตัวชี้วัดที่มีรูปแบบ STIX รหัส Bundle และรหัสตัวชี้วัดเป็นค่า UUIDv4 ที่สุ่ม ดังนั้นการแปลงแต่ละครั้งจะให้รหัสใหม่

ตัวอย่างเพิ่มเติม

กฎของ Suricata จากสามองค์กร IOC

ข้อมูลเข้า
hxxp://login.example[.]net/verify # landing page
203.0.113.7  # panel
wallet-verify.example
ผล

IOC 3 รายการที่ไม่ซ้ำกัน และกฎ 4 ข้อ, sid 9000001 ถึง 9000004: กฎ http.host และ http.uri สำหรับ login.example.net/verify, กฎ ip สำหรับ 203.0.113.7, และกฎ dns.query และ tls.sni สำหรับ .wallet-verify.example คำอธิบายปรากฏเป็น # landing page และ # panel

YARA พร้อมเวกเตอร์แฮชที่เผยแพร่แล้ว

ข้อมูลเข้า
e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855  # empty file
cf83e1357eefb8bdf1542850d66d8007d620e4050b5715dc83f4a921d36ce9ce47d0d13c5d85f2b0ff8318d2877eec2f63b931bd47417a81a538327af927da3e
0x000000000000000000000000000000000000dEaD
ผล

กฎที่มีชื่อว่า PhishDestroy_IOC_ ตามด้วยวันที่วันนี้ พร้อมกับการนำเข้า "hash" ที่ประกอบด้วยที่อยู่ Ethereum ในรูปแบบสตริง และเงื่อนไข hash.sha256 สำหรับค่า SHA-256 ของไฟล์ว่าง ไม่ใช้รูปแบบนี้: 1 × SHA-512: โมดูลแฮช YARA ไม่มี SHA-512

ไฟล์ CSV พร้อมทั้งทำเครื่องหมายที่ช่อง "host" ด้วย

ข้อมูลเข้า
hxxps://pay.example[.]org/invoice # fake invoice
https://pay.example.org/invoice
billing@example[.]org
ผล

IOC 3 รายการที่ไม่ซ้ำกัน (รวม 2 รายการที่ซ้ำกันแล้ว) CSV: type, value, comment, ตามด้วย url, https://pay.example.org/invoice,fake invoice, domain, pay.example.org, fake invoice และ email,billing@example.org ที่มีช่อง comment ว่าง

คำถามที่พบบ่อย

ประเภท IOC ใดที่ได้รับการยอมรับ และมีการแมปอย่างไร?

URL, โดเมน, ที่อยู่ IPv4 และ IPv6 (รวมถึงช่วง CIDR), ที่อยู่อีเมล, ค่าแฮช MD5, SHA-1, SHA-256 และ SHA-512 รวมถึงที่อยู่ Bitcoin และ Ethereum พร้อมการตรวจสอบค่าเช็กซัม STIX รองรับรูปแบบ url, domain-name, ipv4-addr, ipv6-addr, email-addr และ file:hashes; ส่วน MISP รองรับรูปแบบ url, domain หรือ hostname, ip-dst, email-src และประเภท hash ต่างๆ

ควรตรวจสอบอะไรก่อนนำผลลัพธ์เข้ามา?

การสกัดข้อความแบบอิสระอาจตรวจพบชื่อไฟล์ที่ลงท้ายด้วย TLD ที่แท้จริง (เช่น readme.md, archive.zip) หรือสตริงแบบเฮกซ์ที่ไม่ใช่แฮชของไฟล์ ดังนั้นควรตรวจสอบตาราง IOC ก่อน ที่อยู่คริปโตไม่มีวัตถุ STIX, กฎ Suricata ครอบคลุมเฉพาะโดเมน URL และ IP เท่านั้น และโมดูลแฮช YARA ไม่มี SHA-512 ดังนั้นรายการเหล่านั้นจึงถูกระบุว่าเป็น "ไม่แปลง"

มีอะไรถูกอัปโหลดแล้วหรือไม่?

ไม่ครับ การวิเคราะห์และแปลงข้อมูลเกิดขึ้นในเบราว์เซอร์ของคุณ และผลลัพธ์จะถูกคัดลอกหรือดาวน์โหลดก็ต่อเมื่อคุณร้องขอเท่านั้น

ทำอย่างไรเพื่อแนบบันทึกไปยัง IOC?

วางมันในบรรทัดเดียวกันหลังจากแท็บหรือหลังจากช่องว่าง, #, ช่องว่าง หมายเหตุนี้ใช้กับทุก IOC ในบรรทัดนั้น เมื่อค่าปรากฏขึ้นสองครั้ง หมายเหตุแรกจะถูกเก็บไว้ ส่วนหมายเหตุที่ปรากฏขึ้นภายหลังจะถูกใช้ก็ต่อเมื่อบรรทัดแรกไม่มีหมายเหตุใดๆ

กฎ Suricata พร้อมที่จะนำไปใช้งานแล้วหรือไม่?

ให้ถือว่าสิ่งเหล่านี้เป็นจุดเริ่มต้น เลือกช่วงที่อยู่ IP ที่เซ็นเซอร์ของคุณไม่ใช้ ทดสอบกฎกับข้อมูลการจราจรที่บันทึกไว้ และจำไว้ว่า กฎ URL สำหรับเว็บไซต์ HTTPS จะทำงานได้เฉพาะเมื่อข้อมูลการจราจรถูกถอดรหัสแล้วเท่านั้น

ฉันควรเลือกรูปแบบไหนดี?

ใช้ STIX 2.1 หรือ MISP สำหรับแพลตฟอร์มข้อมูลข่าวกรองภัยคุกคาม, CSV สำหรับสเปรดชีตและฟีดแบบง่าย, Suricata สำหรับเซ็นเซอร์เครือข่าย, และโครงร่าง YARA สำหรับการสแกนไฟล์ สำหรับรายชื่อ DNS หรือรายชื่อบล็อกโฆษณา ให้ส่งผลลัพธ์ไปยัง Blocklist Converter.

คำอธิบายศัพท์

การวิจัยของ PhishDestroy

ขั้นตอนต่อไป: เครื่องมือแปลงรายชื่อที่ถูกบล็อก — แปลงโดเมนและ URL ให้เป็นรายชื่อที่ถูกบล็อกใน AdGuard, Pi-hole, RPZ, dnsmasq หรือ Unbound

ดูเครื่องมือทั้งหมด161