Поделиться через

Обзор тестирования логотипа CodeQL и статических средств

Узнайте, как CodeQL помогает сократить поверхность атаки Windows, гарантируя, что драйверы третьих сторон соблюдают строгие стандарты безопасности. В этой статье описываются преимущества использования CodeQL для соответствия WHCP.

Одним из этапов установки этой панели безопасности является требование к программе совместимости оборудования Windows (WHCP), которая указывает, что все отправки драйверов должны использовать модуль CodeQL в исходном коде драйвера и устранять все нарушения, которые считаются обязательными.

Общие сведения о концепциях CodeQL

CodeQL — это статический механизм анализа, используемый разработчиками для анализа безопасности кода за пределами динамической среды.

CodeQL поглощает код во время компиляции и строит из него базу данных. База данных становится каталогом, содержащим запрашиваемые данные, исходные ссылки и файлы журналов. После создания базы данных можно выполнить анализ, используя запросы CodeQL (также называемые проверками или правилами), которые определяют, содержит ли исходный код нарушения или уязвимости безопасности.

CodeQL предоставляет библиотеку стандартных запросов, которые проверяют правильность языка и семантику, предлагая большое значение разработчикам, которые хотят убедиться, что их код свободен от ошибок и уязвимостей.

CodeQL также предоставляет возможность создания пользовательских запросов.

Дополнительные сведения о написании пользовательских запросов см. в документации CodeQL по написанию запросов .

CodeQL также предоставляет средство командной строки CodeQL (CLI) для выполнения действий CodeQL или крупномасштабных анализов.

Дополнительные сведения о CLI CodeQL см. в разделе "Начало работы с CodeQL".

Как CodeQL улучшает безопасность драйверов

CodeQL, GitHub, является мощным механизмом анализа семантического кода и сочетанием обширного набора высокозначных запросов безопасности вместе с надежной платформой делает его бесценным инструментом для защиты кода драйвера.

Использование CodeQL для тестирования WHCP разрешено согласно лицензионному соглашению с конечными пользователями аппаратного набора для лабораторий (HLK).

Для участников WHCP, EULA HLK перезаписывает условия и положения CodeQL GitHub, заявив, что CodeQL можно использовать во время автоматического анализа, CI или CD, в рамках обычных инженерных процессов для анализа драйверов, которые должны быть отправлены и сертифицированы в рамках WHCP.

Проверка логотипа статических инструментов применяет это требование для анализа исходного кода драйвера и исправления любых нарушений, необходимых для исправления.

Это важно

Программа совместимости оборудования Windows требует применения CodeQL для тестирования с использованием статического инструмента логотипа (STL) в наших операционных системах для клиентских и серверных систем. Мы будем продолжать поддерживать поддержку SDV и ЦС на старых продуктах. Мы настоятельно рекомендуем партнерам ознакомиться с требованиями CodeQL к тесту логотипа статического инструмента.

HLK EULA и CodeQL

Использование CodeQL для получения сертификата для тестирования в рамках программы совместимости оборудования Windows допускается в соответствии с соглашением о лицензировании конечных пользователей пакета лабораторий оборудования (HLK).

Для участников WHCP EULA HLK переопределяет условия GitHub CodeQL, позволяя CodeQL использоваться во время автоматического анализа, CI или CD в рамках обычных инженерных процессов для анализа драйверов, отправленных для сертификации WHCP.

Для общего ознакомления прочтите условия и положения CodeQL на GitHub или свяжитесь с CodeQL.

Связанные материалы