Quipu

ورشة عمل سطح مكتب لكتابة قواعد YARA والتحقق من صحتها وتجميعها واختبارها.

يجمع Quipu (يُلفظ "KEE-poo") مستكشف مشاريع، ومحررًا مدركًا لـ YARA، ومُجمِّع YARA-X، ونتائج فحص مركّزة في تطبيق محلي واحد. وهو يضمّن كلاً من YARA-X وخادم اللغة الخاص به، لذا لا تحتاج إلى تثبيت YARA منفصل.

[!IMPORTANT] Quipu في مرحلة MVP. تستهدف عمليات البناء Linux وWindows x86-64. تغطي عملية التحقق من سطح مكتب Windows إصدار Windows 11 24H2؛ راجع سجل التحقق. إصدارات macOS التجريبية لديها تغطية في CI وتحقق من البناء مؤكَّد من المستخدمين؛ راجع سجل التحقق.

الميزات

• افتح مجلدًا يحتوي على ملفات .yar و.yara كمساحة عمل، أو ابدأ بقاعدة مؤقتة.
• استكشف نقاط الدخول المستنتجة أو المُهيَّأة، والتضمينات المتداخلة، والتضمينات الخارجية، ومشكلات المشروع.
• حرّر باستخدام تمييز الصياغة في Monaco، والإكمال، وتوثيق التمرير، وتشخيصات YARA-X الحية.
• جمّع مساحة عمل كاملة، ثم افحص نصًا مكتوبًا أو ملفًا محددًا.
• افحص القواعد المطابقة والأنماط والإزاحات وأطوال البايتات والبايتات المميزة في عارض سداسي عشري.
• انتقل من التشخيصات والمطابقات مباشرةً إلى تعريفاتها المصدرية.
• استعد مجموعات القواعد المجمّعة غير المتغيرة من ذاكرة تخزين مؤقت محلية محدودة.
• اعمل انطلاقًا من مجموعة من مشاريع الأمثلة الصغيرة والمكتفية ذاتيًا المضمّنة مع التطبيق.

تُعالَج القواعد وأهداف الفحص محليًا. لا يرسل Quipu محتوياتها إلى خدمة عن بُعد.

التثبيت على Linux

تُنشر حزم Linux x86-64 على صفحة GitHub Releases:

الحزمة	الأنسب لـ	التثبيت أو التشغيل
AppImage	الاستخدام المحمول على التوزيعات المدعومة	chmod +x Quipu_*.AppImage && ./Quipu_*.AppImage
.deb	Ubuntu 22.04+ وDebian 12+	sudo apt install ./Quipu_*.deb
.rpm	إصدارات Fedora الحديثة	sudo dnf install ./Quipu-*.rpm

تستخدم حزمتا .deb و.rpm وقت تشغيل WebKitGTK الخاص بالنظام. إذا لم تتمكن توزيعتك من تلبية هذا الاعتماد، فاستخدم AppImage.

تتوفر حزم التطوير كمنتجات quipu-linux-x86_64 من عمليات تشغيل CI الناجحة. يستدعي كلٌّ من CI وRelease سير عمل Linux نفسه، بما في ذلك التحقق من الحزم واختبارات الدخان للقوائم الأصلية. يُوفَّر ملف SHA256SUMS الموحّد من Release، وليس من منتجات CI الفردية.

حزم Quipu غير موقّعة حاليًا. يتضمن كل إصدار ملف SHA256SUMS؛ نزّله بجانب الحزم وتحقق من الملفات التي نزّلتها باستخدام:

sha256sum --ignore-missing --check SHA256SUMS

تكتشف قيم التحقق (checksums) التلف العرضي لكنها ليست توقيعًا موثّقًا.

التثبيت على Windows

لحزم Windows x86-64 (الإصدار v0.3.0 وما بعده)، نزّل برنامج التثبيت من إصدارات GitHub. تتوفر أيضًا نسخ التطوير كملفات quipu-windows-x86_64 و quipu-windows-offline-x86_64 من عمليات CI الناجحة.

• استخدم مثبّت NSIS بصيغة .exe للتثبيت للمستخدم الحالي.
• يتوفر أيضًا مثبّت MSI بصيغة .msi.
• للأنظمة المعزولة عن الشبكة (air-gapped)، اختر مثبّتًا بصيغة -offline.exe أو -offline.msi (ملف CI quipu-windows-offline-x86_64). تتضمن هذه الحزم الأكبر مثبّت وقت التشغيل الكامل Microsoft Edge WebView2 ويمكنها تثبيته دون اتصال بالإنترنت.
• تنزّل المثبّتات القياسية WebView2 عند غياب وقت التشغيل، لذا قد يحتاج التثبيت إلى اتصال بالإنترنت.

المثبّتات غير موقّعة، لذا قد يعرض Windows تحذيرًا بناشر غير معروف أو تحذير SmartScreen. تحقّق من أن التنزيل جاء من إصدار هذا المستودع أو سير العمل قبل المتابعة.

تتضمن حزم الإصدار ملف SHA256SUMS مدمجًا. في PowerShell، احسب تجزئة مثبّتك الذي نزّلته (استبدل اسم الملف في المثال):

Get-FileHash -Algorithm SHA256 .\Quipu_VERSION_x64-setup.exe
Get-Content .\SHA256SUMS

قارن التجزئة (hash) مع المدخل الخاص بذلك اسم الملف الدقيق، مع تجاهل حالة الأحرف. لا تتضمن عناصر CI الفردية ملف المجموع الاختباري (checksum) المُجمَّع للإصدار.

إذا نُسيَ ruleset مُجمَّع بعد إعادة التشغيل، فراجع استكشاف أخطاء Windows Defender وإصلاحها في الدليل المرفق. يوضح كيفية التأكد من الحجر الصحي (quarantine)، وإذا لزم الأمر، استبعاد دليل الذاكرة المؤقتة (cache) فقط.

إصدارات macOS التجريبية

يبني سير عمل CI ملفات DMG موقّعة بشكل مخصص (ad-hoc) لمعالجات Apple Silicon وIntel، مع استهداف macOS 15 أو أحدث. لا تتطلب عضوية Apple Developer للبناء، لكنها غير موثّقة (notarized) وقد تتطلب تجاوز Gatekeeper للتشغيل. راجع تطوير macOS للاطلاع على عناصر CI وتعليمات البناء وحالة التحقق الحالية.

البدء السريع

1. شغّل Quipu واختر File → Open Example… → Basic text match.
2. استكشف text_indicators.yar في المحرر.
3. اختر Rules → Compile Workspace أو اضغط Ctrl+Shift+B.
4. افحص الهدف المُجهَّز باستخدام Rules → Scan Target أو اضغط Ctrl+Shift+Enter.
5. وسّع نتيجة مطابقة وحددها لفحص البايتات المميزة.

الدليل الكامل مرفق مع Quipu ضمن Help → Documentation. مصدره متاح أيضًا في documentation/content.

مساحات العمل وquipu.toml

بدون إعدادات، يكتشف Quipu ملفات القواعد بشكل تكراري ويستنتج نقطة دخول (entrypoint) من كل ملف غير مُضمَّن بواسطة ملف آخر. أضف quipu.toml في جذر مساحة العمل عندما تحتاج إلى نقاط دخول صريحة، أو أدلة مُضمَّنة، أو استثناءات:

schema = 1
entrypoints = ["main.yar"]
include_dirs = ["rules", "../shared-rules"]
exclude = ["fixtures/**", "vendor/legacy/**"]

راجع مساحات العمل والمشاريع للاطلاع على نموذج المشروع الكامل ومرجع البيان التعريفي.

البناء من المصدر

تحتاج جميع المنصات إلى:

• Rust 1.93 أو أحدث
• Node.js 22.12 أو أحدث
• Zola 0.23.6
• Git

بالنسبة إلى Windows، اتبع تطوير Windows للحصول على أدوات بناء MSVC، وWindows SDK، ووقت تشغيل WebView2، وأوامر البناء عبر PowerShell.

بالنسبة إلى عمليات البناء التجريبية على macOS، اتبع تطوير macOS.

تحتاج Linux أيضًا إلى المكتبات الأصلية التي تتطلبها Tauri وWebKitGTK.

على Debian أو Ubuntu، ثبّت التبعيات الأصلية باستخدام:

sudo apt update
sudo apt install -y \
  build-essential \
  curl \
  file \
  libayatana-appindicator3-dev \
  libgtk-3-dev \
  librsvg2-dev \
  libssl-dev \
  libwebkit2gtk-4.1-dev \
  patchelf \
  rpm \
  wget

ثم ابنِ جميع صيغ حزم Linux الثلاث:

git clone https://github.com/corelight/quipu.git
cd quipu/app
npm ci
npm run tauri -- build --bundles appimage,deb,rpm

تُكتب المخرجات أسفل app/src-tauri/target/release/bundle/. قد يستغرق البناء الأول بعض الوقت لأن Cargo يترجم YARA-X وتبعياته من المصدر.