I-convert ang mga domain at URL sa mga host, AdGuard, Pi-hole, RPZ, dnsmasq o Unbound blocklists.
Bago
IOC Konberter
Tumatakbo nang lokalBago
Ang kasangkapan mismo ay nasa Ingles; ipinaliwanag ito ng pahinang ito sa iyong wika.
Gamitin angIOC Konberter
Ano ang ginagawa nito
Idikit ang mga tagapagpahiwatig ng kompromiso o anumang teksto. Inirereformat at inilalagay sa kategorya ng converter ang mga URL, domain, IP address, e-mail address, at hash; pinagsasama ang mga duplikado; at isinusulat ang mga ito bilang STIX 2.1 bundle, MISP event, CSV, Suricata rules, o YARA skeleton.
Ganap itong tumatakbo sa iyong browser: walang anumang ipinasok mo ang ina-upload.
Paano gamitin ang IOC Konberter
- I-paste ang mga IOC o isang ulat. I-paste ang isang listahan o anumang teksto. Ang mga pinalambot na anyo tulad ng hxxps:// at [.] ay ibinabalik sa kanilang tunay na halaga. Ang teksto pagkatapos ng tab o "#" sa isang linya ay nagiging komento ng mga IOC ng linyang iyon.
- Piliin ang format ng output. Piliin ang STIX 2.1, MISP event, CSV, Suricata rules o YARA rule skeleton. Lumilitaw ang karagdagang mga patlang para sa MISP (title, threat level, analysis, distribution), Suricata (first sid) at YARA (rule name, author).
- Magpasya sa mga host ng URL.. I-tsek din ang pagdaragdag ng host ng bawat URL kung nais mong ang host ng bawat URL ay maging sariling domain o tagapagpahiwatig ng IP.
- I-convert. Pindutin ang Convert o Ctrl+Enter. Ang pagpapalit ng format o ng MISP menu pagkatapos ay agad na ina-update ang output; pagkatapos mag-type ng pamagat, sid, o pangalan ng patakaran, pindutin ang Enter o Convert.
- Suriin bago i-export. Basahin ang buod at anumang kahon na "Hindi sa format na ito", pagkatapos ay buksan ang mga natuklasang IOC upang suriin ang bawat halaga at komento.
- Kopyahin, i-download o ipasa. Kopyahin ang output o i-download ito gamit ang ipinakitang pangalan ng file. Ang "Ipadala sa…" ay nagbubukas nito sa Blocklist Converter o sa Abuse Report Generator.
Halimbawa
Mga IOC ng kampanyang Drainer na may mga komento
hxxps://connect.wallet-verify[.]example/claim # drainer landing page
wallet-verify.example
198.51.100.23
2001:db8::23
support@wallet-verify.example
44d88612fea8a8f36de82e1278abb02f # EICAR test file6 unique IOCs: URL 1 Domain 1 IPv4 1 IPv6 1 E-mail 1 MD5 1
Each IOC is an indicator (spec_version 2.1, indicator_types malicious-activity) with a STIX pattern; the bundle and indicator IDs are random UUIDv4 values.
STIX 2.1 bundle (JSON)
{
"type": "bundle",
"id": "bundle--9bbd66dc-1735-4610-9fa4-1728d2d24160",
"objects": [
{
"type": "indicator",
"spec_version": "2.1",
"id": "indicator--76bed4a1-d4de-40e2-990f-618d4808917c",
"created": "2026-10-20T17:09:59.108Z",
"modified": "2026-10-20T17:09:59.108Z",
"name": "https://connect.wallet-verify.example/claim",
"indicator_types": [
"malicious-activity"
],
"pattern": "[url:value = 'https://connect.wallet-verify.example/claim']",
"pattern_type": "stix",
"pattern_version": "2.1",
"valid_from": "2026-10-20T17:09:59.108Z",
"description": "drainer landing page"
},
{
"type": "indicator",
"spec_version": "2.1",
"id": "indicator--795d119e-5917-4254-a8be-be240749baf6",
"created": "2026-10-20T17:09:59.108Z",
"modified": "2026-10-20T17:09:59.108Z",
"name": "wallet-verify.example",
"indicator_types": [
"malicious-activity"
],
"pattern": "[domain-name:value = 'wallet-verify.example']",
"pattern_type": "stix",
"pattern_version": "2.1",
"valid_from": "2026-10-20T17:09:59.108Z"
},
{
"type": "indicator",
"spec_version": "2.1",
"id": "indicator--b44a4ee9-3bf6-41f7-9b7f-a74eee60b8be",
"created": "2026-10-20T17:09:59.108Z",
…Isang STIX 2.1 bundle na may anim na tagapagpahiwatig, halimbawa [url:value = 'https://connect.wallet-verify.example/claim'] at [file:hashes.MD5 = '44d88612fea8a8f36de82e1278abb02f'], kung saan ang bawat komento ay nagsisilbing paglalarawan ng tagapagpahiwatig.
Ano ang sinusuri nito
| Sinyales | Ano ang ibig sabihin nito |
|---|---|
| Natatanging IOCs at mga duplikado ay pinagsama. | Ang bilang pagkatapos ng deduplikasyon, na may badge para sa bawat uri tulad ng URL, Domain, IPv4 o SHA-256. Nakatitigil ang pagpoproseso sa 50,000 IOCs. |
| Hindi sa format na ito | Ang mga entry na hindi kayang hawakan ng napiling format, kasama ang dahilan. Ang mga crypto address ay walang STIX object, ang Suricata ay walang inline rule para sa mga e-mail address o hash, at ang YARA ay walang SHA-512. |
| Mga komento | Maging ang paglalarawan ng STIX, ang komento sa MISP at CSV, isang # linya sa itaas ng mga patakaran ng Suricata at isang // tala sa YARA, upang malaman ng iba kung bakit nakalista ang isang IOC. |
| Mga live na halaga sa output | Ang mga export ay naglalaman ng totoong, hindi pinrosesong mga URL at domain kaya't magagamit ng mga tool ang mga ito. Tanging sa talahanayan ng mga natuklasang IOCs lamang ipinapakita ang mga ito nang walang mga karagdagang pagproseso; alisin muna ang mga karagdagang bahagi bago i-paste sa chat o e-mail. |
| Suricata saklaw ng gilid | Ang mga patakaran ay binibilang mula sa unang sid na may rev:1. Ang mga domain ay may dns.query at tls.sni na patakaran na tumutugma rin sa mga subdomain; ang mga patakaran sa URL na mayhttps:// ay tumutugon lamang sa na-decrypt na trapiko. |
| Kalansay ng YARA | Ang mga text IOCs ay nagiging mga ASCII na malawak na nocase na string at ang MD5, SHA-1, at SHA-256 ay nagiging mga kondisyon ng hash module. Baguhin ang pangalan at subukan ang patakaran bago gamitin. |
| Mga setting ng kaganapan ng MISP | Ang pamagat ng kaganapan, antas ng banta, pagsusuri, at pamamahagi ay isinasama sa kaganapan, na nae-export nang hindi nailalathala. Ang mga Ethereum address ay nae-export bilang teksto nang walang IDS flag. |
| Mga tagapagpabatid ng STIX | Ang bawat IOC ay isang tagapagpahiwatig na may pattern ng STIX. Ang mga ID ng bundle at tagapagpahiwatig ay mga random na UUIDv4 na halaga, kaya ang bawat konbersyon ay nagbibigay ng mga bagong ID. |
Karagdagang mga halimbawa
Mga tuntunin ng suricata mula sa tatlong IOC
hxxp://login.example[.]net/verify # landing page
203.0.113.7 # panel
wallet-verify.example3 natatanging IOCs at 4 na patakaran, sid 9000001 hanggang 9000004: isang patakaran ng http.host at http.uri para sa login.example.net/verify, isang patakaran ng ip para sa 203.0.113.7, at mga patakarang dns.query at tls.sni para sa .wallet-verify.example. Lumilitaw ang mga komento bilang # landing page at # panel.
YARA na may inilathalang hash vector
e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855 # empty file
cf83e1357eefb8bdf1542850d66d8007d620e4050b5715dc83f4a921d36ce9ce47d0d13c5d85f2b0ff8318d2877eec2f63b931bd47417a81a538327af927da3e
0x000000000000000000000000000000000000dEaDIsang patakarang pinangalanang PhishDestroy_IOC_ kasama ang kasalukuyang petsa, na may import na "hash", ang Ethereum address bilang string, at isang hash.sha256 na kondisyon para sa SHA-256 ng bakanteng file. Hindi sa format na ito: 1 × SHA-512: ang YARA hash module ay walang SHA-512.
CSV, idagdag din ang host na naka-tsek
hxxps://pay.example[.]org/invoice # fake invoice
https://pay.example.org/invoice
billing@example[.]org3 natatanging IOCs (2 na duplikado ang pinagsama). CSV: type,value,comment, pagkatapos url,https://pay.example.org/invoice,fake invoice, domain, pay.example.org, fake invoice at email,billing@example.org na may walang laman na komento.
Madalas na tanong
Aling mga uri ng IOC ang kinikilala at paano sila naitatakda?
Mga URL, mga domain, mga IPv4 at IPv6 na address (kasama ang mga CIDR range), mga e-mail address, mga hash na MD5, SHA-1, SHA-256 at SHA-512, at mga address ng Bitcoin at Ethereum na may checksum checks. Nakukuha ng STIX ang mga pattern ng url, domain-name, ipv4-addr, ipv6-addr, email-addr at file:hashes; nakukuha naman ng MISP ang url, domain o hostname, ip-dst, email-src at ang mga uri ng hash.
Ano ang dapat kong suriin bago i-import ang resulta?
Maaaring makuha ng free-text extraction ang mga pangalan ng file na nagtatapos sa tunay na TLD (readme.md, archive.zip) o mga hex string na hindi file hash, kaya suriin muna ang talahanayan ng IOC. Ang mga crypto address ay walang STIX object, ang mga patakaran ng Suricata ay sumasaklaw lamang sa mga domain, URL, at IP, at ang YARA hash module ay walang SHA-512, kaya ang mga entry na iyon ay nakalista bilang hindi na-convert.
May na-upload na ba?
Hindi. Ang pag-parse at pag-convert ay tumatakbo sa iyong browser, at ang output ay kinokopya o dinodownload lamang kapag hiniling mo ito.
Paano ko mai-attach ang isang tala sa isang IOC?
Ilagay ito sa parehong linya pagkatapos ng tab o pagkatapos ng space, #, space. Ang tala ay nalalapat sa bawat IOC sa linyang iyon. Kapag lumitaw nang dalawang beses ang isang halaga, pinananatili ang unang tala; ang susunod na tala ay gagamitin lamang kung walang tala ang unang linya.
Handa na bang i-deploy ang mga patakaran ng Suricata?
Ituring ang mga ito bilang panimulang punto. Pumili ng saklaw ng IP na hindi ginagamit ng iyong sensor, subukan ang mga patakaran sa naitalang trapiko, at tandaan na ang mga patakaran sa URL para sa mga site na HTTPS ay gumagana lamang kapag na-decrypt ang trapiko.
Alin ang format na dapat kong piliin?
Gamitin ang STIX 2.1 o MISP para sa mga platform ng threat intelligence, CSV para sa mga spreadsheet at simpleng feed, Suricata para sa mga network sensor, at ang YARA skeleton para sa pag-scan ng mga file. Para sa DNS o ad-block na listahan, ipadala ang resulta sa Blocklist Converter.