Quipu

Настольная рабочая среда для написания, проверки, компиляции и тестирования правил YARA.

Quipu (произносится «КИ-пу») объединяет обозреватель проектов, редактор с поддержкой YARA, компилятор YARA-X и наглядные результаты сканирования в одном локальном приложении. Оно включает в себя как YARA-X, так и его языковой сервер, поэтому отдельная установка YARA не требуется.

[!IMPORTANT] Quipu находится на стадии MVP. Изначально поддерживается платформа 64-битный Linux; поддержка Windows и macOS появится позже.

Возможности

• Открытие папки с файлами .yar и .yara в качестве рабочей области или начало работы с черновым правилом.
• Просмотр выведенных или настроенных точек входа, вложенных включений, внешних включений и проблем проекта.
• Редактирование с подсветкой синтаксиса Monaco, автодополнением, всплывающей документацией и диагностикой YARA-X в реальном времени.
• Компиляция всей рабочей области, затем сканирование введённого текста или выбранного файла.
• Просмотр совпавших правил, шаблонов, смещений, длин в байтах и подсвеченных байтов в hex-просмотрщике.
• Переход от диагностики и совпадений непосредственно к их исходным определениям.
• Восстановление неизменённых скомпилированных наборов правил из ограниченного локального кэша.
• Работа с набором небольших самодостаточных примеров проектов, включённых в приложение.

Правила и цели сканирования обрабатываются локально. Quipu не отправляет их содержимое во внешнюю службу.

Установка в Linux

Пакеты для Linux x86-64 публикуются на странице GitHub Releases:

Пакет	Для чего лучше всего	Установка или запуск
AppImage	Портативное использование на поддерживаемых дистрибутивах	chmod +x Quipu_*.AppImage && ./Quipu_*.AppImage
.deb	Ubuntu 22.04+ и Debian 12+	sudo apt install ./Quipu_*.deb
.rpm	Свежие выпуски Fedora	sudo dnf install ./Quipu-*.rpm

Пакеты .deb и .rpm используют системную среду выполнения WebKitGTK. Если ваш дистрибутив не может удовлетворить эту зависимость, используйте AppImage.

Пакеты Quipu в настоящее время не подписаны. Каждый выпуск включает файл SHA256SUMS; скачайте его рядом с пакетами и проверьте загруженные файлы с помощью:

sha256sum --ignore-missing --check SHA256SUMS

Контрольные суммы позволяют обнаружить случайное повреждение, но не являются аутентифицированной подписью.

Быстрый старт

1. Запустите Quipu и выберите File → Open Example… → Basic text match.
2. Изучите text_indicators.yar в редакторе.
3. Выберите Rules → Compile Workspace или нажмите Ctrl+Shift+B.
4. Просканируйте подготовленную цель с помощью Rules → Scan Target или нажмите Ctrl+Shift+Enter.
5. Разверните совпадение и выберите его, чтобы просмотреть подсвеченные байты.

Полное руководство поставляется вместе с Quipu в разделе Help → Documentation. Его исходный код также доступен в documentation/content.

Рабочие области и quipu.toml

Без конфигурации Quipu рекурсивно обнаруживает файлы правил и выводит точку входа из каждого файла, который не включён в другой файл. Добавьте quipu.toml в корень рабочей области, когда нужны явные точки входа, каталоги включений или исключения:

schema = 1
entrypoints = ["main.yar"]
include_dirs = ["rules", "../shared-rules"]
exclude = ["fixtures/**", "vendor/legacy/**"]

См. Workspaces and projects для полной модели проекта и справочника по манифесту.

Сборка из исходного кода

В настоящее время Quipu ориентирован на Linux x86-64. Для сборки требуется:

• Rust 1.93 или новее
• Node.js 22.6 или новее
• Zola 0.23
• Git
• нативные библиотеки, необходимые для Tauri и WebKitGTK

В Debian или Ubuntu установите нативные зависимости с помощью:

sudo apt update
sudo apt install -y \
  build-essential \
  curl \
  file \
  libayatana-appindicator3-dev \
  libgtk-3-dev \
  librsvg2-dev \
  libssl-dev \
  libwebkit2gtk-4.1-dev \
  patchelf \
  rpm \
  wget

Затем соберите все три формата пакетов Linux:

git clone https://github.com/corelight/quipu.git
cd quipu/app
npm ci
npm run tauri -- build --bundles appimage,deb,rpm

Артефакты записываются в app/src-tauri/target/release/bundle/. Первая сборка может занять некоторое время, поскольку Cargo компилирует YARA-X и его зависимости из исходного кода.

Разработка и тестирование

Установите зависимости и запустите приложение для разработки:

cd app
npm ci
npm run tauri -- dev

Запустите модульные тесты фронтенда, производственную сборку фронтенда и тесты Rust с помощью:

cd app
npm test
npm run build

cd src-tauri
cargo test --locked

Набор приёмочных тестов нативного меню имеет дополнительные требования к серверу дисплея Linux. См. test/README.md для его настройки и использования.

Архитектура

Quipu — это приложение на Tauri с фронтендом на чистом TypeScript и бэкендом на Rust:

• Vite собирает фронтенд и редактор Monaco в webview приложения.
• Tauri IPC связывает пользовательский интерфейс со службами рабочей области, файловой системы, компиляции, кэша и сканирования на Rust.
• Компилятор YARA-X и языковой сервер работают в одном процессе.
• Zola собирает офлайн-сайт документации, встроенный в приложение.

app/src/           TypeScript frontend
app/src-tauri/     Rust backend and desktop packaging
documentation/    Source for the bundled offline guide
examples/          Projects bundled with the application
test/ui/           Native-menu acceptance test harness

Версия приложения определяется в app/package.json; Tauri считывает это значение при именовании пакетов и сообщает о работающей версии.

Текущие ограничения

• Изначально поддерживаются только пакеты для Linux x86-64.
• Quipu сканирует один выбранный файл или один текстовый буфер за раз, а не каталоги или пакеты.
• Новые правила создаются в корне рабочей области. Операции перемещения и удаления выполняются вне Quipu.
• Черновое правило можно скомпилировать и просканировать, но нельзя сохранить или кэшировать.

Участие в разработке и безопасность

Мы приветствуем вклад. Прочитайте CONTRIBUTING.md перед открытием pull request.

Пожалуйста, не сообщайте об уязвимостях безопасности в публичном issue. Следуйте процессу приватного сообщения в SECURITY.md.

Благодарности