Biến tên miền và URL thành danh sách chặn hosts, AdGuard, Pi-hole, RPZ, dnsmasq hoặc Unbound.
Mới
Trình chuyển đổi IOC
Chạy cục bộMới
Công cụ này được hiển thị bằng tiếng Anh; trang này giải thích về công cụ đó bằng ngôn ngữ của bạn.
Sử dụng Trình chuyển đổi IOC
Chức năng của nó là gì?
Dán các chỉ số xâm nhập (IoC) hoặc bất kỳ văn bản nào. Công cụ chuyển đổi này sẽ phân tích lại và phân loại các URL, tên miền, địa chỉ IP, địa chỉ email và các giá trị băm, hợp nhất các bản trùng lặp và xuất chúng dưới dạng gói STIX 2.1, sự kiện MISP, tệp CSV, quy tắc Suricata hoặc khung YARA.
Ứng dụng này hoạt động hoàn toàn trên trình duyệt của bạn: mọi thông tin bạn nhập vào đều không được tải lên.
Cách sử dụng Trình chuyển đổi IOC
- Dán các chỉ số IOC hoặc báo cáo. Dán một danh sách hoặc bất kỳ đoạn văn bản nào. Các dạng đã được vô hiệu hóa như hxxps:// và [.] sẽ được chuyển đổi trở lại thành các giá trị thực. Văn bản nằm sau ký tự tab hoặc " # " trên một dòng sẽ trở thành phần chú thích cho các chỉ số IOC của dòng đó.
- Chọn định dạng đầu ra. Chọn STIX 2.1, sự kiện MISP, CSV, quy tắc Suricata hoặc mẫu quy tắc YARA. Các trường bổ sung sẽ xuất hiện cho MISP (tiêu đề, mức độ đe dọa, phân tích, phân phối), Suricata (sid đầu tiên) và YARA (tên quy tắc, tác giả).
- Chọn các máy chủ URL. Đánh dấu vào ô này để thêm tên máy chủ của từng URL nếu bạn muốn tên máy chủ của mỗi URL được hiển thị như một tên miền hoặc địa chỉ IP riêng biệt.
- Chuyển đổi. Nhấn nút “Chuyển đổi” hoặc tổ hợp phím Ctrl+Enter. Việc thay đổi định dạng hoặc chọn một mục trong menu MISP sau đó sẽ cập nhật ngay kết quả đầu ra; sau khi nhập tiêu đề, mã sid hoặc tên quy tắc, hãy nhấn phím Enter hoặc nút “Chuyển đổi”.
- Kiểm tra lại trước khi xuất. Hãy đọc phần tóm tắt và nội dung trong ô “Không theo định dạng này”, sau đó mở các IOC đã tìm thấy để kiểm tra từng giá trị và nhận xét.
- Sao chép, tải xuống hoặc chia sẻ. Sao chép kết quả hoặc tải xuống với tên tệp được hiển thị. Chọn “Gửi đến…” để mở tệp trong Trình chuyển đổi danh sách chặn hoặc Trình tạo báo cáo lạm dụng.
Ví dụ
Các IOC của chiến dịch Drainer kèm theo nhận xét
hxxps://connect.wallet-verify[.]example/claim # drainer landing page
wallet-verify.example
198.51.100.23
2001:db8::23
support@wallet-verify.example
44d88612fea8a8f36de82e1278abb02f # EICAR test file6 unique IOCs: URL 1 Domain 1 IPv4 1 IPv6 1 E-mail 1 MD5 1
Each IOC is an indicator (spec_version 2.1, indicator_types malicious-activity) with a STIX pattern; the bundle and indicator IDs are random UUIDv4 values.
STIX 2.1 bundle (JSON)
{
"type": "bundle",
"id": "bundle--9bbd66dc-1735-4610-9fa4-1728d2d24160",
"objects": [
{
"type": "indicator",
"spec_version": "2.1",
"id": "indicator--76bed4a1-d4de-40e2-990f-618d4808917c",
"created": "2026-10-20T17:09:59.108Z",
"modified": "2026-10-20T17:09:59.108Z",
"name": "https://connect.wallet-verify.example/claim",
"indicator_types": [
"malicious-activity"
],
"pattern": "[url:value = 'https://connect.wallet-verify.example/claim']",
"pattern_type": "stix",
"pattern_version": "2.1",
"valid_from": "2026-10-20T17:09:59.108Z",
"description": "drainer landing page"
},
{
"type": "indicator",
"spec_version": "2.1",
"id": "indicator--795d119e-5917-4254-a8be-be240749baf6",
"created": "2026-10-20T17:09:59.108Z",
"modified": "2026-10-20T17:09:59.108Z",
"name": "wallet-verify.example",
"indicator_types": [
"malicious-activity"
],
"pattern": "[domain-name:value = 'wallet-verify.example']",
"pattern_type": "stix",
"pattern_version": "2.1",
"valid_from": "2026-10-20T17:09:59.108Z"
},
{
"type": "indicator",
"spec_version": "2.1",
"id": "indicator--b44a4ee9-3bf6-41f7-9b7f-a74eee60b8be",
"created": "2026-10-20T17:09:59.108Z",
…Một gói STIX 2.1 gồm sáu chỉ báo, ví dụ như [url:value = 'https://connect.wallet-verify.example/claim'] và [file:hashes.MD5 = '44d88612fea8a8f36de82e1278abb02f'], trong đó mỗi bình luận đóng vai trò là mô tả cho chỉ báo đó.
Nó kiểm tra những gì
| Tín hiệu | Ý nghĩa của điều đó là gì |
|---|---|
| Các IOC duy nhất và các bản trùng lặp đã được hợp nhất | Số lượng sau khi loại trừ trùng lặp, kèm theo một chỉ báo cho từng loại như URL, tên miền, IPv4 hoặc SHA-256. Quá trình xử lý sẽ dừng lại khi đạt 50.000 IOC. |
| Không phải ở định dạng này | Các mục nhập mà định dạng đã chọn không thể chứa, kèm theo lý do. Địa chỉ tiền điện tử không có đối tượng STIX, Suricata không có quy tắc nhúng cho địa chỉ email hoặc các giá trị băm, và YARA không hỗ trợ SHA-512. |
| Bình luận | Trở thành phần mô tả STIX, phần chú thích MISP và CSV, một dòng bắt đầu bằng # phía trên các quy tắc Suricata và một chú thích // trong YARA, để người khác biết lý do tại sao một chỉ số IOC lại được liệt kê. |
| Các giá trị trực tiếp trong kết quả đầu ra | Các tệp xuất chứa các URL và tên miền thực, đã được vô hiệu hóa để các công cụ có thể nhận diện chúng. Chỉ bảng “IOCs found” mới hiển thị các liên kết này ở dạng đã được vô hiệu hóa; hãy vô hiệu hóa chúng trước khi dán vào khung trò chuyện hoặc email. |
| Phạm vi hoạt động của Suricata | Các quy tắc được đánh số bắt đầu từ trang đầu tiên với phiên bản rev:1. Các tên miền được gán một quy tắc dns.query và một quy tắc tls.sni, cả hai đều áp dụng cho các tên miền con; các quy tắc URL dạng https:// chỉ được kích hoạt trên lưu lượng đã được giải mã. |
| Khung xương YARA | Các IOC dạng văn bản sẽ được chuyển đổi thành các chuỗi ASCII rộng không phân biệt chữ hoa chữ thường, còn MD5, SHA-1 và SHA-256 sẽ trở thành các điều kiện mô-đun băm. Hãy đổi tên và kiểm tra quy tắc trước khi sử dụng. |
| Cài đặt sự kiện MISP | Tên sự kiện, mức độ đe dọa, phân tích và phạm vi ảnh hưởng được đưa vào sự kiện, sau đó sự kiện này được xuất ra dưới dạng chưa được công bố. Các địa chỉ Ethereum được xuất dưới dạng văn bản mà không kèm theo cờ IDS. |
| Mã định danh STIX | Mỗi IOC là một chỉ báo có mẫu STIX. ID của gói và chỉ báo là các giá trị UUIDv4 ngẫu nhiên, do đó mỗi lần chuyển đổi sẽ tạo ra các ID mới. |
Các ví dụ khác
Các quy tắc Suricata dựa trên ba chỉ số IOC
hxxp://login.example[.]net/verify # landing page
203.0.113.7 # panel
wallet-verify.example3 chỉ số IOC duy nhất và 4 quy tắc, có mã sid từ 9000001 đến 9000004: một quy tắc http.host và http.uri cho login.example.net/verify, một quy tắc ip cho 203.0.113.7, và các quy tắc dns.query và tls.sni cho .wallet-verify.example. Các chú thích được hiển thị dưới dạng # landing page và # panel.
YARA với các vectơ băm đã được công bố
e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855 # empty file
cf83e1357eefb8bdf1542850d66d8007d620e4050b5715dc83f4a921d36ce9ce47d0d13c5d85f2b0ff8318d2877eec2f63b931bd47417a81a538327af927da3e
0x000000000000000000000000000000000000dEaDMột quy tắc có tên PhishDestroy_IOC_ kèm theo ngày hôm nay với từ khóa "hash", địa chỉ Ethereum dưới dạng chuỗi ký tự và điều kiện hash.sha256 dành cho giá trị SHA-256 của tệp trống. Không theo định dạng này: 1 × SHA-512: mô-đun băm YARA không hỗ trợ SHA-512.
Tệp CSV với tùy chọn “Cũng thêm máy chủ” đã được chọn
hxxps://pay.example[.]org/invoice # fake invoice
https://pay.example.org/invoice
billing@example[.]org3 mã IOC duy nhất (2 mã trùng lặp đã được hợp nhất). Tệp CSV: gồm các trường type, value, comment, sau đó là url, https://pay.example.org/invoice,fake invoice, domain, pay.example.org, fake invoice và email,billing@example.org với trường comment trống.
Câu hỏi thường gặp
Những loại IOC nào được công nhận và chúng được ánh xạ như thế nào?
URL, tên miền, địa chỉ IPv4 và IPv6 (bao gồm cả dải CIDR), địa chỉ email, các giá trị băm MD5, SHA-1, SHA-256 và SHA-512, cùng với địa chỉ Bitcoin và Ethereum kèm theo kiểm tra tổng kiểm tra. STIX hỗ trợ các mẫu url, domain-name, ipv4-addr, ipv6-addr, email-addr và file:hashes; MISP hỗ trợ url, domain hoặc hostname, ip-dst, email-src và các loại băm.
Tôi nên kiểm tra những gì trước khi nhập kết quả?
Việc trích xuất văn bản tự do có thể thu thập được các tên tệp kết thúc bằng TLD thực (readme.md, archive.zip) hoặc các chuỗi hex không phải là băm tệp, do đó hãy kiểm tra bảng IOC trước. Các địa chỉ tiền điện tử không có đối tượng STIX, các quy tắc Suricata chỉ bao gồm tên miền, URL và địa chỉ IP, và mô-đun băm YARA không hỗ trợ SHA-512, do đó các mục này được liệt kê là chưa được chuyển đổi.
Có tài liệu nào được tải lên chưa?
Không. Quá trình phân tích cú pháp và chuyển đổi diễn ra ngay trong trình duyệt của bạn, và kết quả chỉ được sao chép hoặc tải xuống khi bạn yêu cầu.
Làm thế nào để đính kèm ghi chú vào một IOC?
Đặt nó trên cùng một dòng sau một ký tự tab hoặc sau một khoảng trắng, #, khoảng trắng. Ghi chú này áp dụng cho mọi IOC trên dòng đó. Khi một giá trị xuất hiện hai lần, ghi chú đầu tiên sẽ được giữ lại; ghi chú xuất hiện sau chỉ được sử dụng nếu dòng đầu tiên không có ghi chú nào.
Các quy tắc Suricata đã sẵn sàng để triển khai chưa?
Hãy coi chúng như một điểm khởi đầu. Chọn một dải tần số mà cảm biến của bạn không sử dụng, thử nghiệm các quy tắc trên lưu lượng truy cập đã ghi lại, và hãy nhớ rằng các quy tắc URL dành cho các trang web HTTPS chỉ hoạt động khi lưu lượng truy cập được giải mã.
Tôi nên chọn định dạng nào?
Sử dụng STIX 2.1 hoặc MISP cho các nền tảng tình báo mối đe dọa, CSV cho bảng tính và nguồn cấp dữ liệu đơn giản, Suricata cho các cảm biến mạng, và mẫu YARA để quét tệp. Đối với danh sách DNS hoặc danh sách chặn quảng cáo, hãy gửi kết quả đến Blocklist Converter.