Conpat 2.25.2.0 - Histórico de revisão

Paulo.souza: /* Verificação de Segurança */

2016-08-09T18:01:07Z

‎Verificação de Segurança

Paulo.souza: /* Verificação de Segurança */

2016-08-08T15:16:39Z

‎Verificação de Segurança

Paulo.souza: /* Resultados dos Testes */

2016-08-08T15:13:25Z

‎Resultados dos Testes

Paulo.souza: /* Resultados dos Testes */

2016-08-08T14:37:27Z

‎Resultados dos Testes

Paulo.souza: /* Verificação de Segurança */

2016-08-08T14:29:31Z

‎Verificação de Segurança

Mostrar alterações

Lucimara.maiorali: /* Resultado dos testes */

2016-07-27T16:29:03Z

‎Resultado dos testes

Lucimara.maiorali: /* Análise do teste */

2016-07-27T16:27:05Z

‎Análise do teste

Lucimara.maiorali: /* Análise do teste */

2016-07-27T16:26:00Z

‎Análise do teste

Taynara.nakashima: Criou página com '== Sistemas Verificados == *Controle de patrimônio (Conpat), versão 2.25.2.0 == Verificação de Segurança == Em verificação. == Verificação de Desempenho == === A...'

2016-07-06T13:32:38Z

Criou página com '== Sistemas Verificados == *Controle de patrimônio (Conpat), versão 2.25.2.0 == Verificação de Segurança == Em verificação. == Verificação de Desempenho == === A...'

Página nova

== Sistemas Verificados ==

*Controle de patrimônio (Conpat), versão 2.25.2.0
== Verificação de Segurança ==

Em verificação.

== Verificação de Desempenho ==

=== Análise do teste ===
Durante todas os testes, o percentual de processamento manteve-se dentro dos padrões estabelecidos tendo grande utilização de memória. A média de fila em disco entra-se dentro do aconselhado. O tempo médio de resposta das requisições manteve-se no limite estabelecido, exceto o request de salvar que, em média, demora o dobro dos demais requests.

O sistema apresentou picos nos indicadores "Lazy Write Fluses/sec", "Disk Write/sec" e "Dirty Pages".

A aplicação suporta no máximo até 350 usuários simultâneos, devido a transação de salvar na tabela de cadastro de bens. Não foi possível continuar a realizar os teste devido a grande quantidade de deadlock, que ocorrem a partir de 2 usuários simultâneos. Os mesmos ainda resultam em outros erros de eventvalidation.

Durante os teste foi possível observar que a partir de 50 usuários simultâneos começa a ocorrer erro de conflito da chave estrangeira "FK_BemItemWorkFlow_BemItem". Segue abaixo os logs de erros encontrados:

* Logs de erro do Conpat

:- Log01
'''Exception Type:''' System.Data.SqlClient.SqlException
'''Exception:''' The INSERT statement conflicted with the FOREIGN KEY constraint "FK_BemItemWorkflow_BemItem". The conflict occurred in database "Conpat", table "dbo.BemItem".
The statement has been terminated.
'''Source:''' .Net SqlClient Data Provider
'''Stack Trace: '''
at MSTech.ConPat.BLL.BemItemWorkflowBO.SalvarWFlow(Int64 _bem_Id, Int32 _bit_Id, Int32 _biw_id, Int32 _bws_id, Guid _usu_id, String _bws_observacao, _WorkId _TipoWF, _PassosWF _Passo, Int64 _tmo_id, TalkDBTransaction banco) in d:\b\ControlePatrimonio\ControlePatrimonio_Main.Revision\src\ControlePatrimonio\Main\Src\MSTech.ConPat.BLL\BemItemWorkflowBO.cs:line 137
at MSTech.ConPat.BLL.BemItemBO.AtualizarPlaquetas(Int32 uni_idPlaquetas, List`1 listaBensPlaqueta, Int32 cfg_id, Guid usu_idLogado) in d:\b\ControlePatrimonio\ControlePatrimonio_Main.Revision\src\ControlePatrimonio\Main\Src\MSTech.ConPat.BLL\BemItemBO.cs:line 875
at WebConPat.AreaAdm.Cadastro.Bens.CadastrarPlaqueta.btnSalvar_Click(Object sender, EventArgs e) in d:\b\ControlePatrimonio\ControlePatrimonio_Main.Revision\src\ControlePatrimonio\Main\Src\WebConPat\AreaAdm\Cadastro\Bens\CadastrarPlaqueta.aspx.cs:line 173

:- Log02
'''Exception Type: '''System.Data.SqlClient.SqlException
'''Exception:''' Transaction (Process ID 61) was deadlocked on lock resources with another process and has been chosen as the deadlock victim. Rerun the transaction.
'''Source:''' .Net SqlClient Data Provider
'''Stack Trace: '''
at MSTech.ConPat.BLL.BemPatrimonialBO.Save(BemPatrimonial entityBemPatrimonial, List`1 listBemArquivo, BemItem entityBemItem, List`1 listBemItemArquivo, Boolean IsMovBemPatrimonial, eAction actionLegado, DataTable dtDocumentos, String dirArquivo, String dirArquivoTemp, DataTable dtCentroDeCusto, List`1 listGarantia, Boolean importacaoServico, BemPatrimonialHistoricoDescricao bemPatrimonialHistoricoDescricao, Boolean descricaoMaiuscula, List`1 lstHistorico, eOrigem VS_Origem, PreBens preBem) in d:\b\ControlePatrimonio\ControlePatrimonio_Main.Revision\src\ControlePatrimonio\Main\Src\MSTech.ConPat.BLL\BemPatrimonialBO.cs:line 1129
at WebConPat.AreaAdm.Cadastro.Bens.Cadastro._Salvar() in d:\b\ControlePatrimonio\ControlePatrimonio_Main.Revision\src\ControlePatrimonio\Main\Src\WebConPat\AreaAdm\Cadastro\Bens\Cadastro.aspx.cs:line 3363

:- Log03
'''Inner Exception Type:''' System.ArgumentException
'''Inner Exception: '''Invalid postback or callback argument. Event validation is enabled using <pages enableEventValidation="true"/> in configuration or <%@ Page EnableEventValidation="true" %> in a page. For security purposes, this feature verifies that arguments to postback or callback events originate from the server control that originally rendered them. If the data is valid and expected, use the ClientScriptManager.RegisterForEventValidation method in order to register the postback or callback data for validation.
'''Inner Source:'''System.Web
'''Inner Stack Trace: '''
at System.Web.UI.ClientScriptManager.ValidateEvent(String uniqueId, String argument)
at System.Web.UI.Control.ValidateEvent(String uniqueID, String eventArgument)
at System.Web.UI.WebControls.TextBox.LoadPostData(String postDataKey, NameValueCollection postCollection)
at System.Web.UI.Page.ProcessPostData(NameValueCollection postData, Boolean fBeforeLoad)
at System.Web.UI.Page.ProcessRequestMain(Boolean includeStagesBeforeAsyncPoint, Boolean includeStagesAfterAsyncPoint)
'''Exception Type:''' System.Web.HttpUnhandledException
'''Exception:''' Exception of type 'System.Web.HttpUnhandledException' was thrown.
'''Source:''' System.Web
'''Stack Trace: '''
at System.Web.UI.Page.HandleError(Exception e)
at System.Web.UI.Page.ProcessRequestMain(Boolean includeStagesBeforeAsyncPoint, Boolean includeStagesAfterAsyncPoint)
at System.Web.UI.Page.ProcessRequest(Boolean includeStagesBeforeAsyncPoint, Boolean includeStagesAfterAsyncPoint)
at System.Web.UI.Page.ProcessRequest()
at System.Web.UI.Page.ProcessRequest(HttpContext context)
at System.Web.HttpApplication.CallHandlerExecutionStep.System.Web.HttpApplication.IExecutionStep.Execute()
at System.Web.HttpApplication.ExecuteStep(IExecutionStep step, Boolean& completedSynchronously)

* Logs de erro CoreSSO

:- Log01
'''Exception Type:''' System.Xml.XmlException
'''Exception:''' Data at the root level is invalid. Line 1, position 1.
'''Source:''' System.Xml
'''Stack Trace: '''
at System.Xml.XmlTextReaderImpl.Throw(Exception e)
at System.Xml.XmlTextReaderImpl.ParseRootLevelWhitespace()
at System.Xml.XmlTextReaderImpl.ParseDocumentContent()
at System.Xml.XmlLoader.Load(XmlDocument doc, XmlReader reader, Boolean preserveWhitespace)
at System.Xml.XmlDocument.Load(XmlReader reader)
at System.Xml.XmlDocument.LoadXml(String xml)
at MSTech.ConPat.Web.WebProject.LogOn.ProcessRequest(HttpContext context) in d:\b\ControlePatrimonio\ControlePatrimonio_Main.Revision\src\ControlePatrimonio\Main\Src\MSTech.ConPat.Web.WebProject\LogOn.cs:line 58

:- Log02
'''Exception Type:''' System.NullReferenceException
'''Exception:''' Object reference not set to an instance of an object.
'''Source:''' WebConPat
'''Stack Trace:'''
at WebConPat.SelecionaUnidade.Page_Load(Object sender, EventArgs e) in d:\b\ControlePatrimonio\ControlePatrimonio_Main.Revision\src\ControlePatrimonio\Main\Src\WebConPat\SelecionaUnidade.aspx.cs:line 19

=== Cenários de uso ===

{| class="wikitable"
!colspan="6"|Cenário de uso #1 - Login
|-
|colspan="2"| Ação realizada || Think Time (segundos)
|-
|colspan="2"|1 - Acessar tela de login || style="text-align: center; | 3
|-
|colspan="2"|1 - Realizar login || style="text-align: center; | 7
|-
|colspan="2"|1 - Selecionar sistema Transporte Escolar || style="text-align: center; | 5
|}

{| class="wikitable"
!colspan="6"|Cenário de uso #2 - Cadastro de bem
|-
|colspan="2"| Ação realizada || Think Time (segundos)
|-
|colspan="2"|2 - Acessar tela de consulta de bens || style="text-align: center; | 3
|-
|colspan="2"|2 - Acessar tela de cadastro de bens || style="text-align: center; | 3
|-
|colspan="2"|2 - Preencher "Tipo" || style="text-align: center; | 3
|-
|colspan="2"|2 - Preencher campos de data || style="text-align: center; | 5
|-
|colspan="2"|2 - Preencher campo valor || style="text-align: center; | 4
|-
|colspan="2"|2 - Adicionar fornecedor || style="text-align: center; | 13
|-
|colspan="2"|2 - Selecionar grupo de bens || style="text-align: center; | 7
|-
|colspan="2"|2 - Adicionar documento || style="text-align: center; | 10
|-
|colspan="2"|2 - Marcar bem como sem garantia || style="text-align: center; | 3
|-
|colspan="2"|2 - Adicionar centro de custo || style="text-align: center; | 7
|-
|colspan="2"|2 - Salvar cadastro || style="text-align: center; | 10
|}

{| class="wikitable"
!colspan="6"|Cenário de uso #3 - Recebimento de bem
|-
|colspan="2"| Ação realizada || Think Time (segundos)
|-
|colspan="2"|3 - Acessar home || style="text-align: center; | 3
|-
|colspan="2"|3 - Expandir painel || style="text-align: center; | 3
|-
|colspan="2"|3 - Clicar em "Envio de bens" || style="text-align: center; | 2
|-
|colspan="2"|3 - Clicar em "Aguardando recebimento" || style="text-align: center; | 2
|-
|colspan="2"|3 - Mudar status do item || style="text-align: center; | 8
|-
|}

{| class="wikitable"
!colspan="6"|Cenário de uso #4 - Incorporação do bem
|-
|colspan="2"| Ação realizada || Think Time (segundos)
|-
|colspan="2"|4 - Acessar tela de movimentação manual de bens || style="text-align: center; | 5
|-
|colspan="2"|4 - Selecionar movimentação de incorporação || style="text-align: center; | 3
|-
|colspan="2"|4 - Pesquisar bens para incorporação || style="text-align: center; | 7
|-
|colspan="2"|4 - Clicar em "Exibir itens" || style="text-align: center; | 2
|-
|colspan="2"|4 - Clicar em "Confirmar seleção" || style="text-align: center; | 5
|-
|colspan="2"|4 - Clicar em "Carregar dados" || style="text-align: center; | 4
|-
|colspan="2"|4 - Salvar movimentação || style="text-align: center; | 10
|-
|}

{| class="wikitable"
!colspan="6"|Cenário de uso #5 - Logout
|-
|colspan="2"| Ação realizada || Think Time (segundos)
|-
|colspan="2"|5 - Logout || style="text-align: center; | 5
|-
|}

=== Resultado dos testes ===
Nesta seção serão apresentados os resultados obtidos da execução dos testes.

*'''Porcentagem de tempo do processador'''
: Descrição: Mede a saturação do processador e mostra a quantidade de tempo despendida para processar as threads por todas as CPUs.
: Limite recomendado: Abaixo de 75 %.
: Análise: A aplicação demonstrou desempenho esperado.

:::::: [[Arquivo:2016-07-04_Conpat_ResponseTime.png]]

*'''Porcentagem de memória utilizada'''
: Descrição: Indica a porcentagem de memória utilizada para uso dos processos.
: Limite recomendado: Abaixo de 75 %.
: Análise: A aplicação utiliza utiliza uma quantidade significativa de memória.
:::::: [[Arquivo:2016-07-04_Conpat_MemoriaUtilizada.png]]

*'''Kbytes totais pela interface de rede'''
: Descrição: Indica quantos Kbytes foram enviados e recebidos a cada segundo pela interface de rede.
: Limite recomendado: Menor que 5 Mbytes para uma rede de 100Mbps, menor que 50 Mbytes para uma rede de 1000 Mbps. (Quanto menor melhor).
: Análise: Ocorre picos de envio e recebimento de Kbytes realizados pelo sistema.

:::::: [[Arquivo:2016-07-04_Conpat_InterfaceTotalDeRede.png]]

*'''Tempo médio de resposta das requisições'''
: Descrição: Indica o tempo médio de resposta das requisições.
: Limite recomendado: 5 segundos.
: Análise: A aplicação demonstrou desempenho esperado próximo à 350 usuários, com uma quantidade superior de usuários os servidores ficam sobrecarregados, aumentando significativamente o tempo de resposta.

:::::: [[Arquivo:2016-07-04_Conpat_TempoDeResposta.png]]
::::::: [[Arquivo:2016-07-04_Conpat_TempoDeRespostaLegenda.png]]

*'''Tempo de vazão'''
: Descrição: Indica a quantidade total de request por segundo.
: Limite recomendado: Quanto maior melhor.
: A aplicação demonstrou desempenho esperado até atingir 400 usuários simultâneos.

:::::: [[Arquivo:2016-07-04_Conpat_Vazao.png]]
::::::: [[Arquivo:2016-07-04_Conpat_VazaoLegenda.png]]

*'''Porcentagem de erro'''
: Descrição: Indica a porcentagem de erro.
: Limite recomendado: Quanto menor melhor.
: A aplicação demonstrou grande porcentagem de erro.

:::::: [[Arquivo:2016-07-04_Conpat_PorcentagemErros.png]]

@@ Linha 97: / Linha 97: @@
 |Testing for Bypassing Authorization Schema
 |[https://www.owasp.org/index.php/Testing_for_Bypassing_Authorization_Schema_(OTG-AUTHZ-002) OTG-AUTHZ-002]
-|OK
+|F
 |-
 |Testing for Privilege escalation
 |[https://www.owasp.org/index.php?title=Testing_for_Privilege_escalation_(OTG-AUTHZ-003)&setlang=en OTG-AUTHZ-003]
-|OK
+|F
 |-
 |Testing for Insecure Direct Object References
@@ Linha 318: / Linha 318: @@
+|
 *Renomear os arquivos recebidos para um ID aleatório antes de armazená-los.
 |-
 |'''Referências'''
@@ Linha 478: / Linha 505: @@
 |colspan="2"|Número de itens (NA)|| style="text-align: center; |21
 |-
-|colspan="2"|Número de itens (OK)|| style="text-align: center; |36
+|colspan="2"|Número de itens (OK)|| style="text-align: center; |34
 |-
-|colspan="2"|Número de itens (F)|| style="text-align: center; |7
+|colspan="2"|Número de itens (F)|| style="text-align: center; |9
 |-
-|colspan="2"|Índice de aderência|| style="text-align: center; |84%
+|colspan="2"|Índice de aderência|| style="text-align: center; |79%
 |}

@@ Linha 474: / Linha 474: @@
 |colspan="2"|Número de itens testes|| style="text-align: center; | 64
 |-
-|colspan="2"|Número de itens verificados|| style="text-align: center; |40
+|colspan="2"|Número de itens verificados|| style="text-align: center; |43
 |-
-|colspan="2"|Número de itens (NA)|| style="text-align: center; |24
+|colspan="2"|Número de itens (NA)|| style="text-align: center; |21
 |-
-|colspan="2"|Número de itens (OK)|| style="text-align: center; |31
+|colspan="2"|Número de itens (OK)|| style="text-align: center; |36
 |-
-|colspan="2"|Número de itens (F)|| style="text-align: center; |9
+|colspan="2"|Número de itens (F)|| style="text-align: center; |7
 |-
-|colspan="2"|Índice de aderência|| style="text-align: center; |78%
+|colspan="2"|Índice de aderência|| style="text-align: center; |84%
 |}

← Edição anterior		Edição das 15h13min de 8 de agosto de 2016
Linha 272:		Linha 272:

	=== Resultados dos Testes ===		=== Resultados dos Testes ===
		+
		+	{\| style="width: 100%" class="wikitable"
		+	\|-
		+	\| style="width: 15%"\|
		+	'''Teste falhou'''
		+	\|OTG-INPVAL-005
		+	\|-
		+	\|'''Severidade'''
		+	\|Alta
		+	\|-
		+	\|'''Descrição'''
		+	\|A página Exportação.aspx é vulnerável à SQL Injection. As querys são construídas com concatenação de strings, sem parametrização em alguns casos.
		+	Exemplo: criar exportação na tabela "cotação de moeda" selecionando o campo "descrição da moeda de destino" e criar um filtro para o campo com o conteúdo <code>teste' UNION SELECT TABLE_NAME FROM INFORMATION_SCHEMA.TABLES; SELECT 1 FROM Moeda AS MoedaDestino WHERE '1'='1</code>
		+	verificar que é retornado um arquivo com o nome de todas as tabelas do banco.
		+	\|-
		+	\|'''Política de segurança'''
		+	\|[[Política_de_Segurança_da_Informação_para_o_Desenvolvimento_MSTECH#3.1_Valida.C3.A7.C3.A3o_dos_dados\|"3.1 Validação dos dados"]]
		+	\|-
		+	\|'''Sugestões'''
		+	\|
		+	*Utilizar querys parametrizadas ao invés de construir com concatenação de strings.
		+	*Validar os dados de entrada aceitando somente caracteres alfanuméricos e caracteres especiais necessários.
		+	\|-
		+	\|'''Referências'''
		+	\|
		+	*https://www.owasp.org/index.php/SQL_Injection_Prevention_Cheat_Sheet
		+	\|}
		+
		+	{\| style="width: 100%" class="wikitable"
		+	\|-
		+	\| style="width: 15%"\|
		+	'''Teste falhou'''
		+	\|OTG-AUTHZ-004
		+	\|-
		+	\|'''Severidade'''
		+	\|Baixa
		+	\|-
		+	\|'''Descrição'''
		+	\|Os realizar upload de arquivos no sistema estes são armazenados e referenciados diretamente com o nome original do arquivo.
		+	\|-
		+	\|'''Política de segurança'''
		+	\|[[Política_de_Segurança_da_Informação_para_o_Desenvolvimento_MSTECH#3.9_Arquivos_e_recursos\|"3.9 Arquivos e recursos"]]
		+	\|-
		+	\|'''Sugestões'''
		+	\|
		+	*Renomear os arquivos recebidos para um ID aleatório antes de armazená-los.
		+	\|-
		+	\|'''Referências'''
		+	\|
		+	\|}

	{\| style="width: 100%" class="wikitable"		{\| style="width: 100%" class="wikitable"

← Edição anterior		Edição das 14h37min de 8 de agosto de 2016
Linha 272:		Linha 272:

	=== Resultados dos Testes ===		=== Resultados dos Testes ===
		+
		+	{\| style="width: 100%" class="wikitable"
		+	\|-
		+	\| style="width: 15%"\|
		+	'''Teste falhou'''
		+	\|OTG-CONFIG-007, OTG-AUTHN-001
		+	\|-
		+	\|'''Severidade'''
		+	\|Média
		+	\|-
		+	\|'''Descrição'''
		+	\|As informações enviados para e pelo sistema não são criptografadas, susceptíveis a interceptações e alterações entre o cliente e o servidor.
		+	\|-
		+	\|'''Política de segurança'''
		+	\|[[Pol%C3%ADtica_de_Seguran%C3%A7a_da_Informa%C3%A7%C3%A3o_para_o_Desenvolvimento_MSTECH#3.8_Seguran.C3.A7a_nas_comunica.C3.A7.C3.B5es\|"3.8 Segurança nas comunicações"]]
		+	\|-
		+	\|'''Sugestões'''
		+	\|
		+	*Implementar o protocolo TLS seguindo as orientações de boas práticas.
		+	*Utilizar em ambientes de produção certificados gerados por autoridades certificadores confiáveis. Em ambientes de teste e homologação podem ser utilizados certificados auto-assinados.
		+	\|-
		+	\|'''Referências'''
		+	\|
		+	*https://www.ssllabs.com/downloads/SSL_TLS_Deployment_Best_Practices.pdf
		+	\|}
		+
		+	{\| style="width: 100%" class="wikitable"
		+	\|-
		+	\| style="width: 15%"\|
		+	'''Teste falhou'''
		+	\|OTG-AUTHZ-002
		+	\|-
		+	\|'''Severidade'''
		+	\|Baixa
		+	\|-
		+	\|'''Descrição'''
		+	\|Os Web Services disponíveis no sistema não possuem controle de acesso, podendo ser acessados diretamente por usuários não autenticados.
		+	\|-
		+	\|'''Política de segurança'''
		+	\|[[Pol%C3%ADtica_de_Seguran%C3%A7a_da_Informa%C3%A7%C3%A3o_para_o_Desenvolvimento_MSTECH#3.11_Web_Services_e_API.C2.B4s\|"3.11 Web Services e API´s"]]
		+	\|-
		+	\|'''Sugestões'''
		+	\|
		+	*Implementar mecanismos de autenticação e autorização para as APIs e Webservices.
		+	\|-
		+	\|'''Referências'''
		+	\|
		+	*http://www.asp.net/web-api/overview/security/authentication-andauthorization-in-aspnet-web-api
		+	\|}
		+
		+	{\| style="width: 100%" class="wikitable"
		+	\|-
		+	\| style="width: 15%"\|
		+	'''Teste falhou'''
		+	\|OTG-SESS-005
		+	\|-
		+	\|'''Severidade'''
		+	\|Média
		+	\|-
		+	\|'''Descrição'''
		+	\|O sistema não implementa um mecanismo anti-CSRF, e permite que as páginas sejam renderizadas a partir de outros domínios (em um frame, iframe ou object).
		+	\|-
		+	\|'''Política de segurança'''
		+	\|[[Pol%C3%ADtica_de_Seguran%C3%A7a_da_Informa%C3%A7%C3%A3o_para_o_Desenvolvimento_MSTECH#3.12.1_Configura.C3.A7.C3.B5es_para_servidor_web\|"3.12.1 Configurações para servidor web"]], [[Pol%C3%ADtica_de_Seguran%C3%A7a_da_Informa%C3%A7%C3%A3o_para_o_Desenvolvimento_MSTECH#3.4_Gerenciamento_de_sess.C3.A3o\|"3.4 Gerenciamento de sessão"]]
		+	\|-
		+	\|'''Sugestões'''
		+	\|
		+	*Implementar um token anti-CSRF para prevenir ataques desse tipo.
		+	*Verificar os cabeçalhos "Origin" e/ou "Referer" para identificar a origem do request.
		+	*Setar o cabeçalho "X-Frame-Options" para "sameorigin" ou "deny".
		+	\|-
		+	\|'''Referências'''
		+	\|
		+	*https://www.owasp.org/index.php/Cross-Site_Request_Forgery_%28CSRF%29_Prevention_Cheat_Sheet
		+	*https://www.owasp.org/index.php/Anti_CSRF_Tokens_ASP.NET
		+	*https://www.owasp.org/index.php/Clickjacking_Defense_Cheat_Sheet
		+	\|}
		+
		+	{\| style="width: 100%" class="wikitable"
		+	\|-
		+	\| style="width: 15%"\|
		+	'''Teste falhou'''
		+	\|OTG-SESS-001, OTG-SESS-006
		+	\|-
		+	\|'''Severidade'''
		+	\|Média
		+	\|-
		+	\|'''Descrição'''
		+	\|Ao realizar o logout o cookie de autenticação não é invalidado no servidor, apenas excluido no lado cliente. Assim, forçando o navegador a utilizar o valor antigo do cookie o usuário consegue novamente acesso ao sistema sem realizar o login.
		+	\|-
		+	\|'''Política de segurança'''
		+	\|[[Pol%C3%ADtica_de_Seguran%C3%A7a_da_Informa%C3%A7%C3%A3o_para_o_Desenvolvimento_MSTECH#3.4_Gerenciamento_de_sess.C3.A3o\|"3.4 Gerenciamento de sessão"]]
		+	\|-
		+	\|'''Sugestões'''
		+	\|
		+	*Invalidar o cookie de autenticação no lado servidor quando o usuário realiza o logout.
		+	\|-
		+	\|'''Referências'''
		+	\|
		+	\|}
		+
		+	{\| style="width: 100%" class="wikitable"
		+	\|-
		+	\| style="width: 15%"\|
		+	'''Teste falhou'''
		+	\|OTG-SESS-001
		+	\|-
		+	\|'''Severidade'''
		+	\|Média
		+	\|-
		+	\|'''Descrição'''
		+	\|Ao realizar a primeira requisição para o sistema o usuário recebe um cookie de sessão, e assim que realiza o login com sucesso ele recebe um cookie de autenticação. No entanto o sistema não faz a validação de ambos os cookies, podendo o usuário depois de autenticado continuar navegando apenas com o cookie de autenticação, recebendo uma nova sessão.
		+	\|-
		+	\|'''Política de segurança'''
		+	\|[[Pol%C3%ADtica_de_Seguran%C3%A7a_da_Informa%C3%A7%C3%A3o_para_o_Desenvolvimento_MSTECH#3.4_Gerenciamento_de_sess.C3.A3o\|"3.4 Gerenciamento de sessão"]]
		+	\|-
		+	\|'''Sugestões'''
		+	\|
		+	*Sempre verificar no lado servidor a validade de ambos os cookies, e caso algum cookie esteja ausente ou alterado realizar o logout da sessão do usuário, invalidando ambos os cookies.
		+	\|-
		+	\|'''Referências'''
		+	\|
		+	\|}
		+
		+	{\| style="width: 100%" class="wikitable"
		+	\|-
		+	\| style="width: 15%"\|
		+	'''Teste falhou'''
		+	\|OTG-CLIENT-004
		+	\|-
		+	\|'''Severidade'''
		+	\|Baixa
		+	\|-
		+	\|'''Descrição'''
		+	\|O sistema faz o redirecionamento do usuário para outros domínios quando o parâmentro "relaystate" da página "Login.ashx" é alterado para uma url qualquer.
		+	\|-
		+	\|'''Política de segurança'''
		+	\|[[Pol%C3%ADtica_de_Seguran%C3%A7a_da_Informa%C3%A7%C3%A3o_para_o_Desenvolvimento_MSTECH#3.1_Valida.C3.A7.C3.A3o_dos_dados\|"3.1 Validação dos dados"]]
		+	\|-
		+	\|'''Sugestões'''
		+	\|
		+	*Fazer a validação do valor do relaystate antes de redirecionar o usuário, para previnir o redirecionamento para outros domínios no caso da requisição ter sido alterada ou forjada.
		+	\|-
		+	\|'''Referências'''
		+	\|
		+	\|}
		+
		+	{\| class="wikitable"
		+	\|colspan="2" style="text-align: center; \| '''Índices''' \|\| '''Resultados'''
		+	\|-
		+	\|colspan="2"\|Número de itens testes\|\| style="text-align: center; \| 64
		+	\|-
		+	\|colspan="2"\|Número de itens verificados\|\| style="text-align: center; \|40
		+	\|-
		+	\|colspan="2"\|Número de itens (NA)\|\| style="text-align: center; \|24
		+	\|-
		+	\|colspan="2"\|Número de itens (OK)\|\| style="text-align: center; \|31
		+	\|-
		+	\|colspan="2"\|Número de itens (F)\|\| style="text-align: center; \|9
		+	\|-
		+	\|colspan="2"\|Índice de aderência\|\| style="text-align: center; \|78%
		+	\|}

	== Verificação de Desempenho ==		== Verificação de Desempenho ==

@@ Linha 196: / Linha 196: @@
 : Descrição: Indica a porcentagem de memória utilizada para uso dos processos.
 : Limite recomendado: Abaixo de 75 %.
-: Análise: A aplicação utiliza utiliza uma quantidade significativa de memória.
+: Análise: A aplicação utiliza uma quantidade significativa de memória.
 :::::: [[Arquivo:2016-07-04_Conpat_MemoriaUtilizada.png]]

@@ Linha 14: / Linha 14: @@
 O sistema apresentou picos nos indicadores "Lazy Write Fluses/sec", "Disk Write/sec" e "Dirty Pages".
-A aplicação suporta no máximo até 350 usuários simultâneos, devido a transação de salvar na tabela de cadastro de bens. Não foi possível continuar a realizar os teste devido a grande quantidade de deadlock, que ocorrem a partir de 2 usuários simultâneos. Os mesmos ainda resultam em outros erros de eventvalidation.
+A aplicação suporta no máximo até 350 usuários simultâneos, devido a transação de salvar na tabela de cadastro de bens. Não foi possível continuar a realizar os testes devido a grande quantidade de deadlock, que ocorrem a partir de 2 usuários simultâneos. Os mesmos ainda resultam em outros erros de eventvalidation.
-Durante os teste foi possível observar que a partir de 50 usuários simultâneos começa a ocorrer erro de conflito da chave estrangeira "FK_BemItemWorkFlow_BemItem". Segue abaixo os logs de erros encontrados:
+Durante os testes foi possível observar que a partir de 50 usuários simultâneos começa a ocorrer erro de conflito da chave estrangeira "FK_BemItemWorkFlow_BemItem". Segue abaixo os logs de erros encontrados:
 * Logs de erro do Conpat

@@ Linha 10: / Linha 10: @@
 === Análise do teste ===
-Durante todas os testes, o percentual de processamento manteve-se dentro dos padrões estabelecidos tendo grande utilização de memória. A média de fila em disco entra-se dentro do aconselhado. O tempo médio de resposta das requisições manteve-se no limite estabelecido, exceto o request de salvar que, em média, demora o dobro dos demais requests.
+Durante todos os testes, o percentual de processamento manteve-se dentro dos padrões estabelecidos tendo grande utilização de memória. A média de fila em disco entra-se dentro do aconselhado. O tempo médio de resposta das requisições manteve-se no limite estabelecido, exceto o request de salvar que, em média, demora o dobro dos demais requests.
 O sistema apresentou picos nos indicadores "Lazy Write Fluses/sec", "Disk Write/sec" e "Dirty Pages".
@@ Linha 84: / Linha 84: @@
   '''Stack Trace:'''
     at WebConPat.SelecionaUnidade.Page_Load(Object sender, EventArgs e) in d:\b\ControlePatrimonio\ControlePatrimonio_Main.Revision\src\ControlePatrimonio\Main\Src\WebConPat\SelecionaUnidade.aspx.cs:line 19
 === Cenários de uso ===