Quipu

Eine Desktop-Workbench zum Schreiben, Validieren, Kompilieren und Testen von YARA-Regeln.

Quipu (ausgesprochen „KEE-poo“) vereint einen Projekt-Explorer, einen YARA-fähigen Editor, den YARA-X-Compiler und fokussierte Scan-Ergebnisse in einer lokalen Anwendung. Es bettet sowohl YARA-X als auch dessen Language Server ein, sodass keine separate YARA-Installation erforderlich ist.

[!IMPORTANT] Quipu befindet sich im MVP-Stadium. Die zunächst unterstützte Plattform ist 64-Bit-Linux; Unterstützung für Windows und macOS wird folgen.

Funktionen

• Öffnen Sie einen Ordner mit .yar- und .yara-Dateien als Workspace oder beginnen Sie mit einer Scratch-Regel.
• Erkunden Sie abgeleitete oder konfigurierte Entrypoints, verschachtelte Includes, externe Includes und Projektprobleme.
• Bearbeiten Sie mit Monaco-Syntaxhervorhebung, Vervollständigung, Hover-Dokumentation und Live-YARA-X-Diagnosen.
• Kompilieren Sie einen vollständigen Workspace und scannen Sie dann eingegebenen Text oder eine ausgewählte Datei.
• Untersuchen Sie übereinstimmende Regeln, Muster, Offsets, Byte-Längen und hervorgehobene Bytes in einem Hex-Viewer.
• Springen Sie von Diagnosen und Treffern direkt zu ihren Quelldefinitionen.
• Stellen Sie unveränderte kompilierte Regelsätze aus einem begrenzten lokalen Cache wieder her.
• Arbeiten Sie mit einer Reihe kleiner, eigenständiger Beispielprojekte, die mit der Anwendung geliefert werden.

Regeln und Scan-Ziele werden lokal verarbeitet. Quipu sendet deren Inhalte nicht an einen Remote-Dienst.

Installation unter Linux

Linux-x86-64-Pakete werden auf der GitHub Releases-Seite veröffentlicht:

Paket	Am besten für	Installieren oder ausführen
AppImage	Portabler Einsatz auf unterstützten Distributionen	chmod +x Quipu_*.AppImage && ./Quipu_*.AppImage
.deb	Ubuntu 22.04+ und Debian 12+	sudo apt install ./Quipu_*.deb
.rpm	Aktuelle Fedora-Releases	sudo dnf install ./Quipu-*.rpm

Die .deb- und .rpm-Pakete verwenden die System-WebKitGTK-Laufzeit. Wenn Ihre Distribution diese Abhängigkeit nicht erfüllen kann, verwenden Sie das AppImage.

Quipu-Pakete sind derzeit nicht signiert. Jedes Release enthält eine SHA256SUMS-Datei; laden Sie sie neben den Paketen herunter und überprüfen Sie die heruntergeladenen Dateien mit:

sha256sum --ignore-missing --check SHA256SUMS

Die Prüfsummen erkennen versehentliche Beschädigungen, sind aber keine authentifizierte Signatur.

Schnellstart

1. Starten Sie Quipu und wählen Sie File → Open Example… → Basic text match.
2. Erkunden Sie text_indicators.yar im Editor.
3. Wählen Sie Rules → Compile Workspace oder drücken Sie Ctrl+Shift+B.
4. Scannen Sie das vorbereitete Ziel mit Rules → Scan Target oder drücken Sie Ctrl+Shift+Enter.
5. Erweitern Sie einen Treffer und wählen Sie ihn aus, um die hervorgehobenen Bytes zu untersuchen.

Die vollständige Anleitung ist in Quipu unter Help → Documentation enthalten. Ihre Quelle ist auch in documentation/content verfügbar.

Workspaces und quipu.toml

Ohne Konfiguration entdeckt Quipu rekursiv Regeldateien und leitet einen Entrypoint aus jeder Datei ab, die nicht von einer anderen Datei eingebunden wird. Fügen Sie eine quipu.toml im Workspace-Stamm hinzu, wenn Sie explizite Entrypoints, Include- Verzeichnisse oder Ausschlüsse benötigen:

schema = 1
entrypoints = ["main.yar"]
include_dirs = ["rules", "../shared-rules"]
exclude = ["fixtures/**", "vendor/legacy/**"]

Siehe Workspaces and projects für das vollständige Projektmodell und die Manifest-Referenz.

Aus dem Quellcode erstellen

Quipu zielt derzeit auf Linux x86-64 ab. Ein Build benötigt:

• Rust 1.93 oder neuer
• Node.js 22.6 oder neuer
• Zola 0.23
• Git
• die nativen Bibliotheken, die von Tauri und WebKitGTK benötigt werden

Installieren Sie unter Debian oder Ubuntu die nativen Abhängigkeiten mit:

sudo apt update
sudo apt install -y \
  build-essential \
  curl \
  file \
  libayatana-appindicator3-dev \
  libgtk-3-dev \
  librsvg2-dev \
  libssl-dev \
  libwebkit2gtk-4.1-dev \
  patchelf \
  rpm \
  wget

Erstellen Sie dann alle drei Linux-Paketformate:

git clone https://github.com/corelight/quipu.git
cd quipu/app
npm ci
npm run tauri -- build --bundles appimage,deb,rpm

Artefakte werden unter app/src-tauri/target/release/bundle/ geschrieben. Der erste Build kann eine Weile dauern, da Cargo YARA-X und seine Abhängigkeiten aus dem Quellcode kompiliert.

Entwickeln und testen

Installieren Sie die Abhängigkeiten und starten Sie die Entwicklungsanwendung:

cd app
npm ci
npm run tauri -- dev

Führen Sie die Frontend-Unit-Tests, den Produktions-Frontend-Build und die Rust-Tests aus mit:

cd app
npm test
npm run build

cd src-tauri
cargo test --locked

Die Native-Menu-Abnahmesuite hat zusätzliche Anforderungen an den Linux-Display-Server. Siehe test/README.md für deren Einrichtung und Verwendung.

Architektur

Quipu ist eine Tauri-Anwendung mit einem Vanilla-TypeScript- Frontend und einem Rust-Backend:

• Vite bündelt das Frontend und den Monaco-Editor in die Anwendungs-Webview.
• Tauri IPC verbindet die UI mit Workspace-, Dateisystem-, Kompilierungs-, Cache- und Scan-Diensten in Rust.
• Der YARA-X-Compiler und der Language Server laufen im Prozess.
• Zola erstellt eine Offline-Dokumentationsseite, die in die App eingebettet ist.

app/src/           TypeScript frontend
app/src-tauri/     Rust backend and desktop packaging
documentation/    Source for the bundled offline guide
examples/          Projects bundled with the application
test/ui/           Native-menu acceptance test harness

Die Anwendungsversion ist in app/package.json definiert; Tauri liest diesen Wert, wenn es Pakete benennt und die laufende Version meldet.

Aktuelle Einschränkungen

• Zunächst werden nur Linux-x86-64-Pakete unterstützt.
• Quipu scannt jeweils eine ausgewählte Datei oder einen Textpuffer, nicht Verzeichnisse oder Stapel.
• Neue Regeln werden im Workspace-Stamm erstellt. Verschiebe- und Löschvorgänge werden außerhalb von Quipu durchgeführt.
• Eine Scratch-Regel kann kompiliert und gescannt, aber nicht gespeichert oder zwischengespeichert werden.

Mitwirken und Sicherheit

Beiträge sind willkommen. Lesen Sie CONTRIBUTING.md, bevor Sie einen Pull Request öffnen.