Nota
O acesso a esta página requer autorização. Podes tentar iniciar sessão ou mudar de diretório.
O acesso a esta página requer autorização. Podes tentar mudar de diretório.
Saiba como o CodeQL ajuda a reduzir a superfície de ataque do Windows, garantindo que os drivers de terceiros atendam a fortes padrões de segurança. Este artigo explica os benefícios do uso do CodeQL para conformidade com WHCP.
Uma etapa na configuração dessa barra de segurança é o requisito para o Programa de Compatibilidade de Hardware do Windows (WHCP), que afirma que todos os envios de driver devem usar o mecanismo CodeQL no código-fonte do driver e corrigir quaisquer violações que sejam consideradas Must-Fix.
Entendendo os conceitos do CodeQL
CodeQL é um mecanismo de análise estática usado por desenvolvedores para executar análise de segurança em código fora de um ambiente ao vivo.
CodeQL ingere código durante a compilação e constrói um banco de dados a partir dele. O banco de dados se torna um diretório contendo dados consultáveis, uma referência de origem e arquivos de log. Uma vez que o banco de dados é construído, pode-se executar a análise nele utilizando consultas CodeQL (também chamadas de verificações ou regras) que determinarão se o código-fonte contém violações ou vulnerabilidades de segurança.
O CodeQL fornece uma biblioteca de consultas padrão que verificam a correção da linguagem e semântica, oferecendo grande valor para desenvolvedores que desejam garantir que seu código esteja livre de bugs e vulnerabilidades.
CodeQL também fornece a opção de construir consultas personalizadas.
Para saber mais sobre como escrever consultas personalizadas, consulte Escrevendo consultas na documentação do CodeQL.
CodeQL também fornece uma ferramenta de linha de comando CodeQL (CLI) para executar ações CodeQL ou análise em larga escala.
Encontre documentação adicional da CLI do CodeQL em Introdução ao CodeQL.
Como o CodeQL reforça a segurança do driver
CodeQL, por GitHub, é um poderoso mecanismo de análise de código semântico, e a combinação de um extenso conjunto de consultas de segurança de alto valor, juntamente com uma plataforma robusta, o tornam uma ferramenta inestimável para proteger o código do driver.
O uso do CodeQL para testes WHCP é permitido sob o Contrato de Licença de Usuário Final do Hardware Lab Kit (HLK).
Para os participantes do WHCP, o EULA do HLK substitui os Termos e Condições do CodeQL do GitHub, afirmando que o CodeQL pode ser usado durante a análise automatizada, CI ou CD, como parte dos processos normais de engenharia para fins de análise de drivers a serem submetidos e certificados como parte do WHCP.
O Teste de Logotipo de Ferramentas Estáticas impõe este requisito para analisar o código-fonte do driver e corrigir quaisquer violações obrigatórias.
Importante
O Programa de Compatibilidade de Hardware do Windows requer o CodeQL para testes de logotipo de ferramenta estática (STL) em nossos sistemas operacionais cliente e servidor. Continuaremos a manter o suporte para SDV e CA em produtos mais antigos. Encorajamos vivamente os parceiros a rever os requisitos do CodeQL para o Teste de Logótipo de Ferramenta Estática.
A EULA do HLK e o CodeQL
O uso do CodeQL para fins de certificação para os testes do Programa de Compatibilidade de Hardware do Windows é aceitável sob o Contrato de Licença de Usuário Final do Hardware Lab Kit (HLK).
Para os participantes do WHCP, o EULA do HLK substitui os Termos e Condições do CodeQL do GitHub, permitindo que o CodeQL seja usado durante a análise automatizada, CI ou CD como parte dos processos normais de engenharia para analisar drivers enviados para certificação WHCP.
Para aqueles que acompanham para uso geral, leia os Termos e Condições do GitHub CodeQL e/ou entre em contato com o CodeQL.