Quipu

Настольная рабочая среда для написания, проверки, компиляции и тестирования правил YARA.

Quipu (произносится «KEE-poo») объединяет обозреватель проектов, редактор с поддержкой YARA, компилятор YARA-X и сфокусированные результаты сканирования в одном локальном приложении. Оно встраивает как YARA-X, так и его языковой сервер, поэтому отдельная установка YARA не требуется.

[!IMPORTANT] Quipu находится на стадии MVP. Сборки ориентированы на Linux и Windows x86-64. Проверка настольной версии для Windows охватывает Windows 11 24H2; см. запись о проверке. Экспериментальные сборки для macOS имеют покрытие в CI и подтверждённую пользователями проверку сборки; см. запись о проверке.

Возможности

• Открывайте папку с файлами .yar и .yara как рабочую область или начинайте с чернового правила.
• Исследуйте выведенные или настроенные точки входа, вложенные включения, внешние включения и проблемы проекта.
• Редактируйте с подсветкой синтаксиса Monaco, автодополнением, документацией при наведении и живой диагностикой YARA-X.
• Компилируйте всю рабочую область, затем сканируйте введённый текст или выбранный файл.
• Просматривайте совпавшие правила, шаблоны, смещения, длины в байтах и подсвеченные байты в hex-просмотрщике.
• Переходите от диагностики и совпадений напрямую к их исходным определениям.
• Восстанавливайте неизменённые скомпилированные наборы правил из ограниченного локального кэша.
• Работайте с набором небольших самодостаточных примеров проектов, включённых в приложение.

Правила и цели сканирования обрабатываются локально. Quipu не отправляет их содержимое во внешний сервис.

Установка в Linux

Пакеты для Linux x86-64 публикуются на странице GitHub Releases:

Пакет	Для чего лучше всего	Установка или запуск
AppImage	Портативное использование в поддерживаемых дистрибутивах	chmod +x Quipu_*.AppImage && ./Quipu_*.AppImage
.deb	Ubuntu 22.04+ и Debian 12+	sudo apt install ./Quipu_*.deb
.rpm	Актуальные выпуски Fedora	sudo dnf install ./Quipu-*.rpm

Пакеты .deb и .rpm используют системную среду выполнения WebKitGTK. Если ваш дистрибутив не может удовлетворить эту зависимость, используйте AppImage.

Пакеты для разработки доступны как артефакты quipu-linux-x86_64 из успешных запусков CI. CI и Release вызывают один и тот же рабочий процесс Linux, включая проверку пакетов и дымовые тесты нативного меню. Объединённый файл SHA256SUMS предоставляется Release, а не отдельными артефактами CI.

Пакеты Quipu в настоящее время не подписаны. Каждый выпуск включает файл SHA256SUMS; скачайте его рядом с пакетами и проверьте скачанные файлы с помощью:

sha256sum --ignore-missing --check SHA256SUMS

Контрольные суммы обнаруживают случайное повреждение, но не являются аутентифицированной подписью.

Установка в Windows

Для пакетов Windows x86-64 (v0.3.0 и новее) скачайте установщик со страницы GitHub Releases. Сборки для разработки также доступны в виде артефактов quipu-windows-x86_64 и quipu-windows-offline-x86_64 из успешных запусков CI.

• Используйте установщик NSIS .exe для установки для текущего пользователя.
• Также доступен установщик MSI .msi.
• Для изолированных систем выбирайте установщик -offline.exe или -offline.msi (артефакт CI quipu-windows-offline-x86_64). Эти более крупные пакеты включают полный установщик среды выполнения Microsoft Edge WebView2 и могут установить её без доступа к интернету.
• Стандартные установщики загружают WebView2, если среда выполнения отсутствует, поэтому для установки может потребоваться доступ к интернету.

Установщики не подписаны, поэтому Windows может показать предупреждение о неизвестном издателе или SmartScreen. Прежде чем продолжить, убедитесь, что ваша загрузка получена из релиза или рабочего процесса этого репозитория.

Пакеты релиза включают объединённый файл SHA256SUMS. В PowerShell вычислите хеш скачанного установщика (замените пример имени файла):

Get-FileHash -Algorithm SHA256 .\Quipu_VERSION_x64-setup.exe
Get-Content .\SHA256SUMS

Сравните хеш с записью для этого точного имени файла, игнорируя регистр букв. Отдельные артефакты CI не включают объединённый файл контрольных сумм релиза.

Если скомпилированный набор правил забыт после перезапуска, обратитесь к разделу входящего в комплект руководства Устранение неполадок Windows Defender. В нём объясняется, как подтвердить карантин и, при необходимости, исключить только каталог кэша.

Экспериментальные сборки для macOS

Рабочий процесс CI собирает DMG-файлы с ad-hoc подписью для Apple Silicon и Intel, ориентированные на macOS 15 или новее. Для сборки не требуется членство в Apple Developer, но они не нотаризованы и могут потребовать обхода Gatekeeper для запуска. См. Разработка для macOS для получения информации об артефактах CI, инструкциях по сборке и текущем статусе валидации.

Быстрый старт

1. Запустите Quipu и выберите File → Open Example… → Basic text match.
2. Изучите text_indicators.yar в редакторе.
3. Выберите Rules → Compile Workspace или нажмите Ctrl+Shift+B.
4. Просканируйте подготовленную цель с помощью Rules → Scan Target или нажмите Ctrl+Shift+Enter.
5. Разверните совпадение и выберите его, чтобы просмотреть подсвеченные байты.

Полное руководство входит в комплект Quipu в разделе Help → Documentation. Его исходный код также доступен в documentation/content.

Рабочие пространства и quipu.toml

Без конфигурации Quipu рекурсивно обнаруживает файлы правил и выводит точку входа из каждого файла, который не включён в другой файл. Добавьте quipu.toml в корень рабочего пространства, когда вам нужны явные точки входа, включаемые каталоги или исключения:

schema = 1
entrypoints = ["main.yar"]
include_dirs = ["rules", "../shared-rules"]
exclude = ["fixtures/**", "vendor/legacy/**"]

Полное описание модели проектов и справочник по манифесту см. в разделе Workspaces and projects.

Сборка из исходного кода

Всем платформам требуются:

• Rust 1.93 или новее
• Node.js 22.12 или новее
• Zola 0.23.6
• Git