Avaliação técnica de vulnerabilidades no código do Skala
| Data de elaboração |
18/08/2021 |
|---|---|
| Responsável pelo estudo |
José Lucas da Silva Costa |
|
Equipe do estudo |
|
| Alvo | Sistema Skala |
| Origem |
Falhas de segurança |
|
Objetivo |
Informar ao chefe imediato, por meio de e-mail e no sistema Meu Acesso, uma nova solicitação que necessita ser homologada. |
| Documentação Correlata |
Documentação Técnica: https://hermes-api.dev.local/swagger/ |
|
Observações |
Sem observações. |
1. Glossário de Termos
- SID - Sistema Integrado de Descanso.
2. Introdução
Inicialmente o SID (Sistema Integrado de Descanso) é o sistema responsável pelo controle de férias do Poder Executivo Estadual, atualmente o Portal do Servidor no ato de uma solicitação de férias ou remarcação se comunica com o SID para lançamento de uma solicitação.
3. Desenvolvimento - Implementação de notificação via e-mail e meu acesso no SID
3.1 E-mail
A notificação por e-mail é em tese possível, foi levantada a hipótese de utilização sistema HERMES que foi criado com a finalidade auxiliar no envio de e-mails. A documentação técnica disponível no endereço eletrônico https://hermes-api.dev.local/swagger/ foi analisada pelo time e ficou constatado que a sua utilização é válida e recomendada.
3.2 Sistema Meu Acesso
Devido ao time TITÃS não ser responsável pelo referido sistema, a notificação neste sistema vai necessitar reuniões com o time responsável para sanar dúvidas a respeito da implementação da funcionalidade.
3.3 Possíveis problemas
Após diálogo entre os integrantes do time TITÃS, identificou-se que para o envio de um e-mail ao chefe imediato após uma solicitação de férias ou de remarcação, é necessário passar por uma série de etapas que serão demonstradas no fluxograma a seguir:
 |
Fonte: Titãs
Consequentemente, o excesso de requisições em outros sistemas pode gerar um custo de processamento alto no sistema, pois o SID não armazena as informações necessárias para obter diretamente o e-mail de uma pessoa.
Outro problema desta implementação é o excesso de e-mails na caixa de entrada dos responsáveis pelas homologações, podendo estes serem considerados spam pelos servidores de e-mail dos destinatários.
3.4 Valor agregado
A notificação através do e-mail poderá conscientizar os chefes imediatos da novas solicitações, possibilitando a redução das solicitações na situação de "Aguardando Homologação".
4. Conclusão
O presente ESTUDO TÉCNICO PRELIMINAR, elaborado pelos integrantes TÉCNICOS do time TITÃS, considerando a análise dos desafios técnicos envolvidos e citados, conclui pela VIABILIDADE DA IMPLEMENTAÇÃO DA NOTIFICAÇÃO DE MODO CRITERIOSO, uma vez que foram considerados os potenciais benefícios em termos de eficiência e também os problemas envolvidos, principalmente potenciais problemas de desempenho da aplicação. Em complemento, os contratempos identificados são administráveis, pelo que RECOMENDAMOS o prosseguimento da demanda. Ressalva-se que o ideal é que a periodicidade de envio dos e-mails seja no máximo diária, para esta atividade recomenda-se a construção de um Job que faça o envio no período desejado.