Dela via

Översikt över CodeQL- och statiska verktygslogotyper test

Lär dig hur CodeQL hjälper till att minska attackytan för Windows genom att säkerställa att drivrutiner från tredje part uppfyller starka säkerhetsstandarder. I den här artikeln beskrivs fördelarna med att använda CodeQL för WHCP-efterlevnad.

Ett steg i att ange det här säkerhetsfältet är kravet på Windows Hardware Compatibility Program (WHCP) som anger att alla drivrutinsöverföringar måste använda CodeQL-motorn på drivrutins källkoden och åtgärda eventuella överträdelser som anses vara måste åtgärdas.

Förstå CodeQL-begrepp

CodeQL är en statisk analysmotor som används av utvecklare för att utföra säkerhetsanalyser på kod utanför en livemiljö.

CodeQL matar in kod under kompilering och skapar en databas från den. Databasen blir en katalog som innehåller frågebara data, en källreferens och loggfiler. När databasen har skapats kan man köra analys på den genom att använda CodeQL-frågor (kallas även kontroller eller regler) som avgör om källkoden innehåller överträdelser eller säkerhetsrisker.

CodeQL tillhandahåller ett bibliotek med standardfrågor som söker efter språk korrekthet och semantik, vilket ger stort värde för utvecklare som vill se till att deras kod är fri från buggar och sårbarheter.

CodeQL ger också möjlighet att skapa anpassade frågor.

Mer information om hur du skriver anpassade frågor finns i Skriva frågor i CodeQL-dokumentationen.

CodeQL tillhandahåller också ett CodeQL-kommandoradsverktyg (CLI) för att utföra CodeQL-åtgärder eller storskalig analys.

Hitta ytterligare CodeQL CLI-dokumentation på CodeQL Komma igång.

Så här förbättrar CodeQL drivrutinssäkerheten

CodeQL, från GitHub, är en kraftfull semantisk kodanalysmotor, och kombinationen av en omfattande uppsättning säkerhetsfrågor med högt värde tillsammans med en robust plattform gör det till ett ovärderligt verktyg för att skydda drivrutinskoden.

Användning av CodeQL för WHCP-testning tillåts enligt HLK-licensavtalet (Hardware Lab Kit).

För WHCP-deltagare skriver HLK:s EULA över GitHubs CodeQL-villkor genom att ange att CodeQL kan användas under automatiserad analys, CI eller CD, som en del av normala tekniska processer i syfte att analysera drivrutiner som ska skickas in och certifieras som en del av WHCP.

Logotestet för statiska verktyg framtvingar detta krav för att analysera drivrutins källkoden och åtgärda eventuella överträdelser som måste åtgärdas.

Viktigt!

Windows Hardware Compatibility Program kräver CodeQL för STL-tester (Static Tool Logo) på våra klient- och serveroperativsystem. Vi kommer att fortsätta att ha stöd för SDV och CA på äldre produkter. Vi rekommenderar starkt att partner granskar CodeQL-kraven för logotestet för statiska verktyg.

HLK EULA och CodeQL

Användning av CodeQL i syfte att certifiera för testning av Windows Maskinvarukompatibilitetsprogram godkänns enligt licensavtalet för maskinvarulabbpaket (HLK).

För WHCP-deltagare åsidosätter HLK:s EULA GitHubs CodeQL-villkor, vilket gör att CodeQL kan användas under automatiserad analys, CI eller CD som en del av normala tekniska processer för att analysera drivrutiner som skickats in för WHCP-certifiering.

För de som använder detta på ett generellt sätt, läs Villkoren för GitHub CodeQL och/eller kontakta CodeQL.

Relaterat innehåll

  • Last updated on