Exibir código-fonte para Transporte 1.1.1.21

== Sistemas Verificados ==

*Transporte Escolar, versão 1.1.1.21
*Transporte Escolar Api, versão 1.0.0.0

== Verificação de Segurança ==

=== Testes Realizados ===

{| class="wikitable"
!Item de Teste
!Referência OWASP
!Resultado
|-
|Review Webpage Comments and Metadata for Information Leakage
|[https://www.owasp.org/index.php/Review_webpage_comments_and_metadata_for_information_leakage_(OTG-INFO-005) OTG-INFO-005]
|OK 
|-
|Test Application Platform Configuration
|[https://www.owasp.org/index.php/Test_Application_Platform_Configuration_(OTG-CONFIG-002) OTG-CONFIG-002]
|NA
|-
|Test File Extensions Handling for Sensitive Information
|[https://www.owasp.org/index.php/Test_File_Extensions_Handling_for_Sensitive_Information_(OTG-CONFIG-003) OTG-CONFIG-003]
|OK
|-
|Review Old, Backup and Unreferenced Files for Sensitive Information
|[https://www.owasp.org/index.php/Review_Old,_Backup_and_Unreferenced_Files_for_Sensitive_Information_(OTG-CONFIG-004) OTG-CONFIG-004]
|F
|-
|Test HTTP Methods
|[https://www.owasp.org/index.php/Test_HTTP_Methods_(OTG-CONFIG-006) OTG-CONFIG-006]
|NA
|-
|Test HTTP Strict Transport Security
|[https://www.owasp.org/index.php/Test_HTTP_Strict_Transport_Security_(OTG-CONFIG-007) OTG-CONFIG-007]
|F
|-
|Test RIA cross domain policy
|[https://www.owasp.org/index.php/Test_RIA_cross_domain_policy_(OTG-CONFIG-008) OTG-CONFIG-008]
|NA
|-
|Test Role Definitions
|[https://www.owasp.org/index.php/Test_Role_Definitions_(OTG-IDENT-001) OTG-IDENT-001]
|NA
|-
|Test User Registration Process
|[https://www.owasp.org/index.php/Test_User_Registration_Process_(OTG-IDENT-002) OTG-IDENT-002]
|NA
|-
|Test Account Provisioning Process
|[https://www.owasp.org/index.php/Test_Account_Provisioning_Process_(OTG-IDENT-003) OTG-IDENT-003]
|NA
|-
|Testing for Account Enumeration and Guessable User Account
|[https://www.owasp.org/index.php/Testing_for_Account_Enumeration_and_Guessable_User_Account_(OTG-IDENT-004) OTG-IDENT-004]
|OK
|-
|Testing for Credentials Transported over an Encrypted Channel
|[https://www.owasp.org/index.php/Testing_for_Credentials_Transported_over_an_Encrypted_Channel_(OTG-AUTHN-001) OTG-AUTHN-001]
|F
|-
|Testing for default credentials
|[https://www.owasp.org/index.php/Testing_for_default_credentials_(OTG-AUTHN-002) OTG-AUTHN-002]
|OK
|-
|Testing for Weak lock out mechanism
|[https://www.owasp.org/index.php/Testing_for_Weak_lock_out_mechanism_(OTG-AUTHN-003) OTG-AUTHN-003]
|NA
|-
|Testing for Bypassing Authentication Schema
|[https://www.owasp.org/index.php/Testing_for_Bypassing_Authentication_Schema_(OTG-AUTHN-004) OTG-AUTHN-004]
|OK
|-
|Testing for Vulnerable Remember Password
|[https://www.owasp.org/index.php/Testing_for_Vulnerable_Remember_Password_(OTG-AUTHN-005) OTG-AUTHN-005]
|NA
|-
|Testing for Browser cache weakness
|[https://www.owasp.org/index.php/Testing_for_Browser_cache_weakness_(OTG-AUTHN-006) OTG-AUTHN-006]
|OK
|-
|Testing for Weak password policy
|[https://www.owasp.org/index.php?title=Testing_for_Weak_password_policy_(OTG-AUTHN-007)&setlang=en OTG-AUTHN-007]
|NA
|-
|Testing for weak password change or reset functionalities
|[https://www.owasp.org/index.php/Testing_for_weak_password_change_or_reset_functionalities_(OTG-AUTHN-009) OTG-AUTHN-009]
|NA
|-
|Testing for Weaker authentication in alternative channel
|[https://www.owasp.org/index.php/Testing_for_Weaker_authentication_in_alternative_channel_(OTG-AUTHN-010) OTG-AUTHN-010]
|NA
|-
|Testing Directory traversal/file include
|[https://www.owasp.org/index.php/Testing_Directory_traversal/file_include_(OTG-AUTHZ-001) OTG-AUTHZ-001]
|OK
|-
|Testing for Bypassing Authorization Schema
|[https://www.owasp.org/index.php/Testing_for_Bypassing_Authorization_Schema_(OTG-AUTHZ-002) OTG-AUTHZ-002]
|F
|-
|Testing for Privilege escalation
|[https://www.owasp.org/index.php?title=Testing_for_Privilege_escalation_(OTG-AUTHZ-003)&setlang=en OTG-AUTHZ-003]
|OK
|-
|Testing for Insecure Direct Object References
|[https://www.owasp.org/index.php?title=Testing_for_Insecure_Direct_Object_References_(OTG-AUTHZ-004)&setlang=en OTG-AUTHZ-004]
|F
|-
|Testing for Session Management Schema
|[https://www.owasp.org/index.php/Testing_for_Session_Management_Schema_(OTG-SESS-001) OTG-SESS-001]
|F
|-
|Testing for cookies attributes
|[https://www.owasp.org/index.php/Testing_for_cookies_attributes_(OTG-SESS-002) OTG-SESS-002]
|OK
|-
|Testing for Session Fixation
|[https://www.owasp.org/index.php/Testing_for_Session_Fixation_(OTG-SESS-003) OTG-SESS-003]
|OK
|-
|Testing for Exposed Session Variables
|[https://www.owasp.org/index.php/Testing_for_Exposed_Session_Variables_(OTG-SESS-004) OTG-SESS-004]
|OK
|-
|Testing for CSRF
|[https://www.owasp.org/index.php/Testing_for_CSRF_(OTG-SESS-005) OTG-SESS-005]
|F
|-
|Testing for logout functionality
|[https://www.owasp.org/index.php/Testing_for_logout_functionality_(OTG-SESS-006) OTG-SESS-006]
|F
|-
|Testing for Session Timeout
|[https://www.owasp.org/index.php?title=Test_Session_Timeout_(OTG-SESS-007)&setlang=en OTG-SESS-007]
|OK
|-
|Testing for Session puzzling
|[https://www.owasp.org/index.php/Testing_for_Session_puzzling_(OTG-SESS-008) OTG-SESS-008]
|OK
|-
|Testing for Reflected Cross site scripting
|[https://www.owasp.org/index.php/Testing_for_Reflected_Cross_site_scripting_(OTG-INPVAL-001) OTG-INPVAL-001]
|OK
|-
|Testing for Stored Cross site scripting
|[https://www.owasp.org/index.php/Testing_for_Stored_Cross_site_scripting_(OTG-INPVAL-002) OTG-INPVAL-002]
|OK
|-
|Testing for HTTP Verb Tampering
|[https://www.owasp.org/index.php?title=Testing_for_HTTP_Verb_Tampering_(OTG-INPVAL-003)&setlang=en OTG-INPVAL-003]
|NA
|-
|Testing for HTTP Parameter pollution
|[https://www.owasp.org/index.php/Testing_for_HTTP_Parameter_pollution_(OTG-INPVAL-004) OTG-INPVAL-004]
|OK
|-
|Testing for SQL Injection
|[https://www.owasp.org/index.php/Testing_for_SQL_Injection_(OTG-INPVAL-005) OTG-INPVAL-005]
|OK
|-
|Testing for LDAP Injection
|[https://www.owasp.org/index.php/Testing_for_LDAP_Injection_(OTG-INPVAL-006) OTG-INPVAL-006]
|NA
|-
|Testing for XML Injection
|[https://www.owasp.org/index.php?title=Testing_for_XML_Injection_(OTG-INPVAL-008)&setlang=en OTG-INPVAL-008]
|NA
|-
|Testing for SSI Injection
|[https://www.owasp.org/index.php?title=Testing_for_SSI_Injection_(OTG-INPVAL-009)&setlang=en OTG-INPVAL-009]
|NA
|-
|Testing for XPath Injection
|[https://www.owasp.org/index.php?title=Testing_for_XPath_Injection_(OTG-INPVAL-010)&setlang=en OTG-INPVAL-010]
|NA
|-
|Testing for IMAP/SMTP Injection
|[https://www.owasp.org/index.php/Testing_for_IMAP/SMTP_Injection_(OTG-INPVAL-011) OTG-INPVAL-011]
|NA
|-
|Testing for Code Injection
|[https://www.owasp.org/index.php?title=Testing_for_Code_Injection_(OTG-INPVAL-012)&setlang=en OTG-INPVAL-012]
|OK
|-
|Testing for Command Injection
|[https://www.owasp.org/index.php?title=Testing_for_Command_Injection_(OTG-INPVAL-013)&setlang=en OTG-INPVAL-013]
|OK
|-
|Testing for Buffer Overflow
|[https://www.owasp.org/index.php/Testing_for_Buffer_Overflow_(OTG-INPVAL-014) OTG-INPVAL-014]
|NA
|-
|Testing for Incubated Vulnerability
|[https://www.owasp.org/index.php?title=Testing_for_Incubated_Vulnerability_(OTG-INPVAL-015)&setlang=en OTG-INPVAL-015]
|OK
|-
|Testing for HTTP Splitting/Smuggling
|[https://www.owasp.org/index.php?title=Testing_for_HTTP_Splitting/Smuggling_(OTG-INPVAL-016)&setlang=en OTG-INPVAL-016]
|OK
|-
|Testing for Information Disclosure
|[https://www.owasp.org/index.php/Testing_for_Error_Code_(OTG-ERR-001) OTG-ERR-001], [https://www.owasp.org/index.php/Testing_for_Stack_Traces_(OTG-ERR-002) OTG-ERR-002]
|OK
|-
|Testing for Weak SSL/TLS Ciphers, Insufficient Transport Layer Protection
|[https://www.owasp.org/index.php/Testing_for_Weak_SSL/TLS_Ciphers,_Insufficient_Transport_Layer_Protection_(OTG-CRYPST-001) OTG-CRYPST-001]
|NA
|-
|Testing for Padding Oracle
|[https://www.owasp.org/index.php?title=Testing_for_Padding_Oracle_(OTG-CRYPST-002)&setlang=en OTG-CRYPST-002]
|NA
|-
|Testing for Sensitive information sent via unencrypted channels
|[https://www.owasp.org/index.php?title=Testing_for_Sensitive_information_sent_via_unencrypted_channels_(OTG-CRYPST-003)&setlang=en OTG-CRYPST-003]
|NA
|-
|Tests of business logic
|[https://www.owasp.org/index.php/Testing_for_business_logic OTG-BUSLOGIC-001..009]
|OK
|-
|Testing for DOM-based Cross site scripting
|[https://www.owasp.org/index.php/Testing_for_DOM-based_Cross_site_scripting_(OTG-CLIENT-001) OTG-CLIENT-001]
|OK
|-
|Testing for JavaScript Execution
|[https://www.owasp.org/index.php/Testing_for_JavaScript_Execution_(OTG-CLIENT-002) OTG-CLIENT-002]
|OK
|-
|Testing for HTML Injection
|[https://www.owasp.org/index.php/Testing_for_HTML_Injection_(OTG-CLIENT-003) OTG-CLIENT-003]
|OK
|-
|Testing for Client Side URL Redirect
|[https://www.owasp.org/index.php/Testing_for_Client_Side_URL_Redirect_(OTG-CLIENT-004) OTG-CLIENT-004]
|F
|-
|Testing for CSS Injection
|[https://www.owasp.org/index.php/Testing_for_CSS_Injection_(OTG-CLIENT-005) OTG-CLIENT-005]
|OK
|-
|Testing for Client Side Resource Manipulation
|[https://www.owasp.org/index.php/Testing_for_Client_Side_Resource_Manipulation_(OTG-CLIENT-006) OTG-CLIENT-006]
|OK
|-
|Test Cross Origin Resource Sharing
|[https://www.owasp.org/index.php/Test_Cross_Origin_Resource_Sharing_(OTG-CLIENT-007) OTG-CLIENT-007]
|OK
|-
|Testing for Cross site flashing
|[https://www.owasp.org/index.php?title=Testing_for_Cross_site_flashing_(OTG-CLIENT-008)&setlang=en OTG-CLIENT-008]
|OK
|-
|Testing for Clickjacking
|[https://www.owasp.org/index.php/Testing_for_Clickjacking_(OTG-CLIENT-009) OTG-CLIENT-009]
|OK
|-
|Testing WebSockets
|[https://www.owasp.org/index.php?title=Testing_WebSockets_(OTG-CLIENT-010)&setlang=en OTG-CLIENT-010]
|NA
|-
|Test Web Messaging
|[https://www.owasp.org/index.php?title=Test_Web_Messaging_(OTG-CLIENT-011)&setlang=en OTG-CLIENT-011]
|NA
|-
|Test Local Storage
|[https://www.owasp.org/index.php?title=Test_Local_Storage_(OTG-CLIENT-012)&setlang=en OTG-CLIENT-012]
|NA
|}
<font size=1>
:OK (Nenhum problema encontrado); F (Teste falhou, verificar os resultados); NA (Teste não aplicado)
</font>

=== Resultados dos Testes ===

{| style="width: 100%" class="wikitable"
|-
| style="width: 15%"|
'''Teste falhou'''
|OTG-AUTHZ-002, OTG-AUTHZ-004
|-
|'''Severidade'''
|Média
|-
|'''Descrição'''
|O handler "fileHandler.ashx" não possui controle de acesso, podendo ser acessado diretamente por um usuário não autenticado. Assim ele permite o download de qualquer arquivo disponível através do seu id, que é um número sequencial e portanto de fácil previsão.
|-
|'''Política de segurança'''
|[[Pol%C3%ADtica_de_Seguran%C3%A7a_da_Informa%C3%A7%C3%A3o_para_o_Desenvolvimento_MSTECH#3.3_Controle_de_acesso|"3.3 Controle de acesso"]], [[Pol%C3%ADtica_de_Seguran%C3%A7a_da_Informa%C3%A7%C3%A3o_para_o_Desenvolvimento_MSTECH#3.9_Arquivos_e_recursos|"3.9 Arquivos e recursos"]]
|-
|'''Sugestões'''
|
*Implementar um controle de acesso para o fileHandler e para os arquivos em si, de forma que apenas os usuários com a devida permissão consigam realizar o download dos arquivos.
*Utilizar identificadores aleatórios e não previsíveis para dificultar o acesso aos arquivos diretamente.
|-
|'''Referências'''
|
|}

{| style="width: 100%" class="wikitable"
|-
| style="width: 15%"|
'''Teste falhou'''
|OTG-CONFIG-007, OTG-AUTHN-001
|-
|'''Severidade'''
|Média
|-
|'''Descrição'''
|As informações enviados para e pelo sistema não são criptografadas, susceptíveis a interceptações e alterações entre o cliente e o servidor.
|-
|'''Política de segurança'''
|[[Pol%C3%ADtica_de_Seguran%C3%A7a_da_Informa%C3%A7%C3%A3o_para_o_Desenvolvimento_MSTECH#3.8_Seguran.C3.A7a_nas_comunica.C3.A7.C3.B5es|"3.8 Segurança nas comunicações"]]
|-
|'''Sugestões'''
|
*Implementar o protocolo TLS seguindo as orientações de boas práticas.
*Utilizar em ambientes de produção certificados gerados por autoridades certificadores confiáveis. Em ambientes de teste e homologação podem ser utilizados certificados auto-assinados.
|-
|'''Referências'''
|
*https://www.ssllabs.com/downloads/SSL_TLS_Deployment_Best_Practices.pdf
|}

{| style="width: 100%" class="wikitable"
|-
| style="width: 15%"|
'''Teste falhou'''
|OTG-CONFIG-004
|-
|'''Severidade'''
|Baixa
|-
|'''Descrição'''
|O diretório do site no servidor possui arquivos de código fonte (.cs).
|-
|'''Política de segurança'''
|[[Pol%C3%ADtica_de_Seguran%C3%A7a_da_Informa%C3%A7%C3%A3o_para_o_Desenvolvimento_MSTECH#3.7_Prote.C3.A7.C3.A3o_de_dados|"3.7 Proteção de dados"]]
|-
|'''Sugestões'''
|
*Em produção, deve-se procurar manter apenas os arquivos compilados e necessários para o funcionamento do sistema.
|-
|'''Referências'''
|
|}

{| style="width: 100%" class="wikitable"
|-
| style="width: 15%"|
'''Teste falhou'''
|OTG-AUTHZ-002
|-
|'''Severidade'''
|Baixa
|-
|'''Descrição'''
|A api do sistema e o WS "SvcTransporteEscolar" não possuem controle de acesso, podendo ser acessados diretamente por um usuário não autenticado.
|-
|'''Política de segurança'''
|[[Pol%C3%ADtica_de_Seguran%C3%A7a_da_Informa%C3%A7%C3%A3o_para_o_Desenvolvimento_MSTECH#3.11_Web_Services_e_API.C2.B4s|"3.11 Web Services e API´s"]]
|-
|'''Sugestões'''
|
*Implementar mecanismos de autenticação e autorização para as APIs e Webservices.
|-
|'''Referências'''
|
*http://www.asp.net/web-api/overview/security/authentication-andauthorization-in-aspnet-web-api
|}

{| style="width: 100%" class="wikitable"
|-
| style="width: 15%"|
'''Teste falhou'''
|OTG-SESS-005
|-
|'''Severidade'''
|Média
|-
|'''Descrição'''
|O sistema não implementa um mecanismo anti-CSRF, e permite que as páginas sejam renderizadas a partir de outros domínios (em um frame, iframe ou object).
|-
|'''Política de segurança'''
|[[Pol%C3%ADtica_de_Seguran%C3%A7a_da_Informa%C3%A7%C3%A3o_para_o_Desenvolvimento_MSTECH#3.12.1_Configura.C3.A7.C3.B5es_para_servidor_web|"3.12.1 Configurações para servidor web"]], [[Pol%C3%ADtica_de_Seguran%C3%A7a_da_Informa%C3%A7%C3%A3o_para_o_Desenvolvimento_MSTECH#3.4_Gerenciamento_de_sess.C3.A3o|"3.4 Gerenciamento de sessão"]]
|-
|'''Sugestões'''
|
*Implementar um token anti-CSRF para prevenir ataques desse tipo.
*Verificar os cabeçalhos "Origin" e/ou "Referer" para identificar a origem do request.
*Setar o cabeçalho "X-Frame-Options" para "sameorigin" ou "deny".
|-
|'''Referências'''
|
*https://www.owasp.org/index.php/Cross-Site_Request_Forgery_%28CSRF%29_Prevention_Cheat_Sheet
*https://www.owasp.org/index.php/Anti_CSRF_Tokens_ASP.NET
*https://www.owasp.org/index.php/Clickjacking_Defense_Cheat_Sheet
|}

{| style="width: 100%" class="wikitable"
|-
| style="width: 15%"|
'''Teste falhou'''
|OTG-SESS-001, OTG-SESS-006
|-
|'''Severidade'''
|Média
|-
|'''Descrição'''
|Ao realizar o logout o cookie de autenticação não é invalidado no servidor, apenas excluido no lado cliente. Assim, forçando o navegador a utilizar o valor antigo do cookie o usuário consegue novamente acesso ao sistema sem realizar o login.
|-
|'''Política de segurança'''
|[[Pol%C3%ADtica_de_Seguran%C3%A7a_da_Informa%C3%A7%C3%A3o_para_o_Desenvolvimento_MSTECH#3.4_Gerenciamento_de_sess.C3.A3o|"3.4 Gerenciamento de sessão"]]
|-
|'''Sugestões'''
|
*Invalidar o cookie de autenticação no lado servidor quando o usuário realiza o logout.
|-
|'''Referências'''
|
|}

{| style="width: 100%" class="wikitable"
|-
| style="width: 15%"|
'''Teste falhou'''
|OTG-SESS-001
|-
|'''Severidade'''
|Média
|-
|'''Descrição'''
|Ao realizar a primeira requisição para o sistema o usuário recebe um cookie de sessão, e assim que realiza o login com sucesso ele recebe um cookie de autenticação. No entanto o sistema não faz a validação de ambos os cookies, podendo o usuário depois de autenticado continuar navegando apenas com o cookie de sessão ou de autenticação (nesse caso recebendo uma nova sessão).
|-
|'''Política de segurança'''
|[[Pol%C3%ADtica_de_Seguran%C3%A7a_da_Informa%C3%A7%C3%A3o_para_o_Desenvolvimento_MSTECH#3.4_Gerenciamento_de_sess.C3.A3o|"3.4 Gerenciamento de sessão"]]
|-
|'''Sugestões'''
|
*Sempre verificar no lado servidor a validade de ambos os cookies, e caso algum cookie esteja ausente ou alterado realizar o logout da sessão do usuário, invalidando ambos os cookies.
|-
|'''Referências'''
|
|}

{| style="width: 100%" class="wikitable"
|-
| style="width: 15%"|
'''Teste falhou'''
|OTG-CLIENT-004
|-
|'''Severidade'''
|Baixa
|-
|'''Descrição'''
|O sistema faz o redirecionamento do usuário para outros domínios quando o parâmentro "relaystate" da página "Login.ashx" é alterado para uma url qualquer.
|-
|'''Política de segurança'''
|[[Pol%C3%ADtica_de_Seguran%C3%A7a_da_Informa%C3%A7%C3%A3o_para_o_Desenvolvimento_MSTECH#3.1_Valida.C3.A7.C3.A3o_dos_dados|"3.1 Validação dos dados"]]
|-
|'''Sugestões'''
|
*Fazer a validação do valor do relaystate antes de redirecionar o usuário, para previnir o redirecionamento para outros domínios no caso da requisição ter sido alterada ou forjada.
|-
|'''Referências'''
|
|}

== Verificação de Desempenho ==

=== Observações sobre o teste ===
O CoreSSO utilizado inicialmente para os testes foi o indicado pela equipe do Transportes, copiado do TS-IIS02 e TS-BD. Contudo, o CoreSSO, apresentou problemas, dentre eles o não cadastro da tabela de layout padrão, gerando diversos erros. Desta forma, substituímos o banco e o site por outra versão indicada pela equipe do CoreSSO na época.

Vale ressaltar que o sistema conforme indicação da equipe do Transportes suportaria, em seu limite, o acesso simultâneo de 200 usuários com uma alta taxa de erro no momento de acesso ao sistema Transporte Escolar, tornando necessário a verificação e ajuste do SAML.

=== Cenário de uso ===

{| class="wikitable"  
!colspan="6"|Cenário de uso #1
|-
|colspan="2"| Ação realizada ||  Think Time (segundos)
|-
|colspan="2"|1 - Acessar tela de login || style="text-align: center; | 3
|-
|colspan="2"|1 - Realizar login || style="text-align: center; |7
|-
|colspan="2"|1 - Selecionar sistema Transporte Escolar || style="text-align: center; |5
|-
|colspan="2"|2 - Acessar tela de consulta de veículos || style="text-align: center; |5
|-
|colspan="2"|2 - Preencher aba "Documentação" || style="text-align: center; |20
|-
|colspan="2"|2 - Preencher aba "Aquisição" || style="text-align: center; |7
|-
|colspan="2"|2 - Preencher aba "Condutor" || style="text-align: center; |38
|-
|colspan="2"|2 - Preencher aba "Peças e acessórios" || style="text-align: center; |25
|-
|colspan="2"|2 - Preencher aba "Despesas" || style="text-align: center; |15
|-
|colspan="2"|2 - Salvar cadastro || style="text-align: center; |5
|-
|colspan="2"|3 - Logout || style="text-align: center; |5
|}

=== Resultado dos testes ===
Nesta seção serão apresentados os resultados obtidos da execução dos testes.

*'''Porcentagem de tempo do processador''' 
: Descrição: Mede a saturação do processador e mostra a quantidade de tempo despendida para processar as threads por todas as CPUs.
: Limite recomendado: Abaixo de 75 %.

:::::: [[Arquivo:2016-06-21 TransporteEscolar TempoDeProcessador.png]]


*'''Porcentagem de memória utilizada''' 
: Descrição: Indica a porcentagem de memória utilizada para uso dos processos.
: Limite recomendado: Abaixo de 75 %.

:::::: [[Arquivo:2016-06-21_TransporteEscolar_MemoriaUtilizada.png]]


*'''Kbytes totais pela interface de rede''' 
: Descrição: Indica quantos Bbytes foram enviados e recebidos a cada segundo pela interface de rede.
: Limite recomendado: Menor que 5 Mbytes para uma rede de 100Mbps, menor que 50 Mbytes para uma rede de 1000 Mbps. (Quanto menor melhor)

:::::: [[Arquivo:2016-06-21_TransporteEscolar_NetworkTotal.png]]


*'''Tempo médio de resposta das requisições''' 
: Descrição: Indica o tempo médio de resposta das requisições.
: Limite recomendado: 5 segundos.

:::::: [[Arquivo:2016-06-21_TransporteEscolar_ResponseTime.png]]


*'''Tempo de vazão''' 
: Descrição: Indica a quantidade total de request por segundo.
: Limite recomendado: Quanto maior melhor.

:::::: [[Arquivo:2016-06-22 13-37-47.png]]