Перетворюйте домени й URL на списки блокування hosts, AdGuard, Pi-hole, RPZ, dnsmasq чи Unbound.
Новий
Конвертер IOC
Працює локальноНовий
Сам інструмент доступний англійською мовою; на цій сторінці наведено пояснення вашою мовою.
Використовуйте Конвертер IOC
Як це працює
Вставте індикатори компрометації або будь-який текст. Конвертер повертає знешкодженим (defanged) записам робочий вигляд і класифікує URL, домени, IP-адреси, адреси електронної пошти та хеші, об'єднує дублікати й записує їх як бандл STIX 2.1, подію MISP, CSV, правила Suricata або заготовку YARA.
Програма працює повністю у вашому браузері: жодні введені вами дані не завантажуються.
Як користуватися Конвертер IOC
- Вставте IOC або звіт. Вставте список або будь-який текст. Знешкоджені форми на кшталт hxxps:// та [.] перетворюються назад на справжні значення. Текст після табуляції або " # " у рядку стає коментарем до IOC цього рядка.
- Виберіть формат виводу. Виберіть STIX 2.1, MISP event, CSV, Suricata rules або YARA rule skeleton. Додаткові поля з'являються для MISP (назва, рівень загрози, аналіз, поширення), Suricata (перший sid) і YARA (назва правила, автор).
- Вирішіть щодо хостів URL. Позначте Also add the host of each URL (також додати хост кожного URL), якщо хочете, щоб хост кожного URL став окремим індикатором домену або IP.
- Перетворіть. Натисніть Convert (перетворити) або Ctrl+Enter. Зміна формату чи меню MISP після цього одразу оновлює результат; після введення назви, sid або назви правила натисніть Enter або Convert.
- Перегляньте перед експортом. Прочитайте підсумок і блок Not in this format (немає в цьому форматі), якщо він є, потім відкрийте IOCs found (знайдені IOC), щоб перевірити кожне значення та коментар.
- Скопіюйте, завантажте або передайте далі. Скопіюйте результат або завантажте його з показаним іменем файлу. Send to… (надіслати до…) відкриває його в Blocklist Converter або Abuse Report Generator.
Приклад
IOC кампанії дрейнера з коментарями
hxxps://connect.wallet-verify[.]example/claim # drainer landing page
wallet-verify.example
198.51.100.23
2001:db8::23
support@wallet-verify.example
44d88612fea8a8f36de82e1278abb02f # EICAR test file6 unique IOCs: URL 1 Domain 1 IPv4 1 IPv6 1 E-mail 1 MD5 1
Each IOC is an indicator (spec_version 2.1, indicator_types malicious-activity) with a STIX pattern; the bundle and indicator IDs are random UUIDv4 values.
STIX 2.1 bundle (JSON)
{
"type": "bundle",
"id": "bundle--9bbd66dc-1735-4610-9fa4-1728d2d24160",
"objects": [
{
"type": "indicator",
"spec_version": "2.1",
"id": "indicator--76bed4a1-d4de-40e2-990f-618d4808917c",
"created": "2026-10-20T17:09:59.108Z",
"modified": "2026-10-20T17:09:59.108Z",
"name": "https://connect.wallet-verify.example/claim",
"indicator_types": [
"malicious-activity"
],
"pattern": "[url:value = 'https://connect.wallet-verify.example/claim']",
"pattern_type": "stix",
"pattern_version": "2.1",
"valid_from": "2026-10-20T17:09:59.108Z",
"description": "drainer landing page"
},
{
"type": "indicator",
"spec_version": "2.1",
"id": "indicator--795d119e-5917-4254-a8be-be240749baf6",
"created": "2026-10-20T17:09:59.108Z",
"modified": "2026-10-20T17:09:59.108Z",
"name": "wallet-verify.example",
"indicator_types": [
"malicious-activity"
],
"pattern": "[domain-name:value = 'wallet-verify.example']",
"pattern_type": "stix",
"pattern_version": "2.1",
"valid_from": "2026-10-20T17:09:59.108Z"
},
{
"type": "indicator",
"spec_version": "2.1",
"id": "indicator--b44a4ee9-3bf6-41f7-9b7f-a74eee60b8be",
"created": "2026-10-20T17:09:59.108Z",
…Бандл STIX 2.1 із шістьма індикаторами, наприклад [url:value = 'https://connect.wallet-verify.example/claim'] і [file:hashes.MD5 = '44d88612fea8a8f36de82e1278abb02f'], де кожен коментар стає описом індикатора.
Що перевіряється
| Сигнал | Що це означає |
|---|---|
| Унікальні IOC та об'єднані дублікати | Кількість після усунення дублікатів, з позначкою для кожного типу, як-от URL, Domain, IPv4 чи SHA-256. Обробка зупиняється на 50 000 IOC. |
| Not in this format | Записи, які вибраний формат не може вмістити, із зазначенням причини. Для криптоадрес немає об'єкта STIX, у Suricata немає вбудованого правила для адрес електронної пошти чи хешів, а YARA не підтримує SHA-512. |
| Коментарі | Стають описом у STIX, коментарем у MISP і CSV, рядком # над правилами Suricata та приміткою // у YARA, щоб інші знали, чому IOC внесено до списку. |
| Робочі значення в результаті | Експорт містить справжні, відновлені URL і домени, щоб інструменти могли їх зіставляти. Лише таблиця IOCs found показує їх знешкодженими; знешкодьте їх, перш ніж вставляти в чат або лист. |
| Діапазон sid для Suricata | Правила нумеруються від першого sid з rev:1. Для доменів створюються правила dns.query і tls.sni, які також спрацьовують на піддомени; правила для URL з https:// спрацьовують лише на розшифрованому трафіку. |
| Заготовка YARA | Текстові IOC стають рядками ascii wide nocase, а MD5, SHA-1 і SHA-256 — умовами модуля hash. Перейменуйте та протестуйте правило перед використанням. |
| Налаштування події MISP | Назва події, рівень загрози, аналіз і поширення записуються в подію, яка експортується неопублікованою. Адреси Ethereum експортуються як текст без прапорця IDS. |
| Ідентифікатори STIX | Кожен IOC є індикатором із шаблоном STIX. Ідентифікатори бандла та індикаторів — випадкові значення UUIDv4, тож кожне перетворення дає нові ID. |
Ще кілька прикладів
Правила Suricata з трьох IOC
hxxp://login.example[.]net/verify # landing page
203.0.113.7 # panel
wallet-verify.example3 унікальні IOC і 4 правила, sid від 9000001 до 9000004: правило http.host і http.uri для login.example.net/verify, правило ip для 203.0.113.7, а також правила dns.query і tls.sni для .wallet-verify.example. Коментарі з'являються як # landing page і # panel.
YARA з опублікованими тестовими хешами
e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855 # empty file
cf83e1357eefb8bdf1542850d66d8007d620e4050b5715dc83f4a921d36ce9ce47d0d13c5d85f2b0ff8318d2877eec2f63b931bd47417a81a538327af927da3e
0x000000000000000000000000000000000000dEaDПравило з назвою PhishDestroy_IOC_ і сьогоднішньою датою, з import "hash", адресою Ethereum як рядком і умовою hash.sha256 для SHA-256 порожнього файлу. Not in this format: 1 × SHA-512: модуль hash у YARA не підтримує SHA-512.
CSV з позначеним Also add the host
hxxps://pay.example[.]org/invoice # fake invoice
https://pay.example.org/invoice
billing@example[.]org3 унікальні IOC (2 дублікати об'єднано). CSV: type,value,comment, потім url,https://pay.example.org/invoice,fake invoice, domain,pay.example.org,fake invoice і email,billing@example.org з порожнім коментарем.
Часті запитання
Які типи IOC розпізнаються і як вони зіставляються?
URL, домени, адреси IPv4 та IPv6 (також діапазони CIDR), адреси електронної пошти, хеші MD5, SHA-1, SHA-256 і SHA-512, а також адреси Bitcoin та Ethereum з перевіркою контрольної суми. STIX отримує шаблони url, domain-name, ipv4-addr, ipv6-addr, email-addr і file:hashes; MISP отримує url, domain або hostname, ip-dst, email-src і типи хешів.
Що перевірити перед імпортом результату?
Видобування з довільного тексту може захопити імена файлів, що закінчуються справжнім TLD (readme.md, archive.zip), або шістнадцяткові рядки, які не є хешами файлів, тому спершу перегляньте таблицю IOC. Для криптоадрес немає об'єкта STIX, правила Suricata охоплюють лише домени, URL та IP, а модуль hash у YARA не підтримує SHA-512, тому такі записи позначаються як не перетворені.
Чи щось завантажується на сервер?
Ні. Розбір і перетворення виконуються у вашому браузері, а результат копіюється або завантажується лише тоді, коли ви про це попросите.
Як додати примітку до IOC?
Напишіть її в тому самому рядку після табуляції або після пробілу, # і пробілу. Примітка стосується кожного IOC у цьому рядку. Якщо значення трапляється двічі, зберігається перша примітка; пізніша використовується, лише якщо в першому рядку примітки не було.
Чи готові правила Suricata до розгортання?
Вважайте їх відправною точкою. Виберіть діапазон sid, який ваш сенсор не використовує, протестуйте правила на записаному трафіку й пам'ятайте, що правила URL для сайтів HTTPS працюють лише там, де трафік розшифровується.
Який формат вибрати?
Використовуйте STIX 2.1 або MISP для платформ розвідки загроз, CSV для таблиць і простих фідів, Suricata для мережевих сенсорів, а заготовку YARA для сканування файлів. Для списків DNS або блокування реклами передайте результат у Blocklist Converter.