Quipu

ورشة عمل سطح مكتب لكتابة قواعد YARA والتحقق من صحتها وتجميعها واختبارها.

يجمع Quipu (يُلفظ "KEE-poo") مستكشف مشاريع، ومحررًا مدركًا لـ YARA، ومترجم YARA-X، ونتائج فحص مركّزة في تطبيق محلي واحد. وهو يضمّن كلاً من YARA-X وخادم اللغة الخاص به، لذا لا تحتاج إلى تثبيت YARA بشكل منفصل.

[!IMPORTANT] Quipu في مرحلة MVP. تستهدف عمليات البناء Linux/Windows x86-64 وmacOS 15+ Apple Silicon/Intel. يغطي التحقق من سطح مكتب Windows إصدار Windows 11 24H2؛ راجع سجل التحقق. تستخدم حزم macOS الموقّعة Developer ID وتوثيق Apple؛ راجع سجل التحقق.

الميزات

• افتح مجلدًا يحتوي على ملفات .yar و.yara كمساحة عمل، أو ابدأ بقاعدة مؤقتة.
• استكشف نقاط الدخول المستنتجة أو المُهيّأة، والتضمينات المتداخلة، والتضمينات الخارجية، ومشكلات المشروع.
• حرّر باستخدام تمييز الصياغة في Monaco، والإكمال، وتوثيق التمرير، وتشخيصات YARA-X الحية.
• جمّع مساحة عمل كاملة، ثم افحص نصًا مكتوبًا أو ملفًا محددًا.
• افحص القواعد المطابقة والأنماط والإزاحات وأطوال البايتات والبايتات المميّزة في عارض سداسي.
• انتقل من التشخيصات والمطابقات مباشرةً إلى تعريفاتها المصدرية.
• استعد مجموعات القواعد المجمّعة غير المتغيرة من ذاكرة تخزين مؤقت محلية محدودة.
• اعمل انطلاقًا من مجموعة من مشاريع الأمثلة الصغيرة والمكتفية ذاتيًا المضمّنة مع التطبيق.

تُعالَج القواعد وأهداف الفحص محليًا. لا يرسل Quipu محتوياتها إلى خدمة عن بُعد.

التثبيت على Linux

تُنشر حزم Linux x86-64 على صفحة GitHub Releases:

الحزمة	الأنسب لـ	التثبيت أو التشغيل
AppImage	الاستخدام المحمول على التوزيعات المدعومة	chmod +x Quipu_*.AppImage && ./Quipu_*.AppImage
.deb	Ubuntu 22.04+ وDebian 12+	sudo apt install ./Quipu_*.deb
.rpm	إصدارات Fedora الحديثة	sudo dnf install ./Quipu-*.rpm

تستخدم حزم .deb و.rpm وقت تشغيل WebKitGTK الخاص بالنظام. إذا تعذّر على توزيعتك تلبية هذه التبعية، فاستخدم AppImage.

تتوفر حزم التطوير كمنتجات quipu-linux-x86_64 من عمليات تشغيل CI الناجحة. يستدعي كلٌّ من CI وRelease سير عمل Linux نفسه، بما في ذلك التحقق من الحزم واختبارات الدخان للقوائم الأصلية. يُوفَّر ملف SHA256SUMS الموحّد من Release، وليس من منتجات CI الفردية.

حزم Quipu غير موقّعة حاليًا. يتضمن كل إصدار ملف SHA256SUMS؛ نزّله بجانب الحزم وتحقق من الملفات التي نزّلتها باستخدام:

sha256sum --ignore-missing --check SHA256SUMS

تكتشف قيم التحقق (checksums) التلف العرضي لكنها ليست توقيعًا موثّقًا.

التثبيت على Windows

لحزم Windows x86-64 (الإصدار v0.3.0 وما بعده)، نزّل برنامج التثبيت من إصدارات GitHub. تتوفر أيضًا نسخ التطوير كملفات quipu-windows-x86_64 و quipu-windows-offline-x86_64 من عمليات CI الناجحة.

• استخدم مثبّت NSIS بصيغة .exe للتثبيت للمستخدم الحالي.
• يتوفر أيضًا مثبّت MSI بصيغة .msi.
• للأنظمة المعزولة عن الشبكة (air-gapped)، اختر مثبّتًا بصيغة -offline.exe أو -offline.msi (ملف CI quipu-windows-offline-x86_64). تتضمن هذه الحزم الأكبر مثبّت وقت التشغيل الكامل Microsoft Edge WebView2 ويمكنها تثبيته دون اتصال بالإنترنت.
• تنزّل المثبّتات القياسية WebView2 عند غياب وقت التشغيل، لذا قد يحتاج التثبيت إلى اتصال بالإنترنت.

المثبّتات غير موقّعة، لذا قد يعرض Windows تحذيرًا بناشر غير معروف أو تحذير SmartScreen. تحقّق من أن التنزيل جاء من إصدار هذا المستودع أو سير العمل قبل المتابعة.

تتضمن حزم الإصدار ملف SHA256SUMS مدمجًا. في PowerShell، احسب تجزئة مثبّتك الذي نزّلته (استبدل اسم الملف في المثال):

Get-FileHash -Algorithm SHA256 .\Quipu_VERSION_x64-setup.exe
Get-Content .\SHA256SUMS

قارن التجزئة (hash) مع المدخل الخاص بذلك اسم الملف الدقيق، مع تجاهل حالة الأحرف. لا تتضمن عناصر CI الفردية ملف المجموع الاختباري (checksum) المُجمَّع للإصدار.

إذا نُسيَ ruleset مُجمَّع بعد إعادة التشغيل، فراجع استكشاف أخطاء Windows Defender وإصلاحها في الدليل المرفق. يوضح كيفية التأكد من الحجر الصحي (quarantine)، وإذا لزم الأمر، استبعاد دليل الذاكرة المؤقتة (cache) فقط.

حزم macOS

تستهدف ملفات DMG الخاصة بالإصدارات لمعالجات Apple Silicon وIntel نظام macOS 15 أو أحدث. التطبيق وملف DMG موقّعان بـ Developer ID، ومُصدَّقان من Apple (notarized)، ومُثبَّتان (stapled). نزّل ملف DMG المناسب من Releases، ثم اسحب Quipu إلى مجلد Applications. تستخدم عناصر CI العادية توقيعات مخصصة (ad-hoc) وهي مخصصة للتطوير. راجع macOS للاطلاع على التثبيت، وتعليمات البناء، وحالة التحقق الحالية.

البدء السريع

1. شغّل Quipu واختر File → Open Example… → Basic text match.
2. استكشف text_indicators.yar في المحرر.
3. اختر Rules → Compile Workspace أو اضغط Ctrl+Shift+B.
4. افحص الهدف المُجهَّز باستخدام Rules → Scan Target أو اضغط Ctrl+Shift+Enter.
5. وسّع نتيجة مطابقة واخترها لفحص البايتات المميزة.

الدليل الكامل مرفق مع Quipu ضمن Help → Documentation. مصدره متاح أيضًا في documentation/content.

مساحات العمل وquipu.toml

بدون إعدادات، يكتشف Quipu ملفات القواعد بشكل تكراري ويستنتج نقطة دخول (entrypoint) من كل ملف غير مُضمَّن بواسطة ملف آخر. أضف quipu.toml في جذر مساحة العمل عندما تحتاج إلى نقاط دخول صريحة، أو أدلة مُضمَّنة، أو استثناءات:

schema = 1
entrypoints = ["main.yar"]
include_dirs = ["rules", "../shared-rules"]
exclude = ["fixtures/**", "vendor/legacy/**"]

راجع مساحات العمل والمشاريع للاطلاع على نموذج المشروع الكامل ومرجع البيان.

البناء من المصدر

تحتاج جميع المنصات إلى:

• Rust 1.95 أو أحدث
• Node.js 22.12 أو أحدث
• Zola 0.23.6
• Git

بالنسبة إلى Windows، اتبع تطوير Windows للحصول على أدوات بناء MSVC، وWindows SDK، ووقت تشغيل WebView2، وأوامر بناء PowerShell.

بالنسبة إلى عمليات بناء macOS، اتبع تطوير macOS.

تحتاج Linux أيضًا إلى المكتبات الأصلية التي تتطلبها Tauri وWebKitGTK.

على Debian أو Ubuntu، ثبّت التبعيات الأصلية باستخدام:

sudo apt update
sudo apt install -y \
  build-essential \
  curl \
  file \
  libayatana-appindicator3-dev \
  libgtk-3-dev \
  librsvg2-dev \
  libssl-dev \
  libwebkit2gtk-4.1-dev \
  patchelf \
  rpm \
  wget

ثم ابنِ جميع صيغ حزم Linux الثلاث:

git clone https://github.com/corelight/quipu.git
cd quipu/app
npm ci
npm run tauri -- build --bundles appimage,deb,rpm