Avaliação técnica de vulnerabilidades no código do Skala

Data de elaboração	18/08/2021
Responsável pelo estudo	José Lucas da Silva Costa
Equipe do estudo
Alvo	Sistema Skala
Origem	Falhas de segurança
Objetivo	Avaliar falhas de segurança no sistema Skala
Documentação Correlata	Documentação Técnica: https://hermes-api.dev.local/swagger/
Observações	Sem observações.

1. Glossário de Termos

2. Introdução

3. Análise/Checklist na primeira camada (proteção das rotas)

3.1 EquipeController

Checklist de avaliação
Authorize está presente na controller?	Sim ( ) Não ( )
Foi testado no navegador o acesso direto a controller sem autenticação?	Sim ( ) Não ( )
Foi testado no navegador o acesso direto a controller com autenticação diferente?	Sim ( ) Não ( )
ValidateAntiForgeryToken está presente em todas as ActionResult's com o método POST?	Sim ( ) Não ( )
As Authorize's específicas nas rotas estão de acordo com a regra de negócio do sistema?	Sim ( ) Não ( )
Existe algum uso indiscriminado do recurso AllowAnonymous nas ActionResult's?	Sim ( ) Não ( )

3.2 EscalaController

3.3 HomeController

3.4 MapaController

3.5 PadraoController

3.6 PlantaoController

3.7 RelatorioController

3.8 ServidorController

3.9 ServidorEquipeController

3.10 SolicitaçãoController

4. Conclusão

O presente ESTUDO TÉCNICO PRELIMINAR, elaborado pelos integrantes TÉCNICOS do time TITÃS, considerando a análise dos desafios técnicos envolvidos e citados, conclui pela VIABILIDADE DA IMPLEMENTAÇÃO DA NOTIFICAÇÃO DE MODO CRITERIOSO, uma vez que foram considerados os potenciais benefícios em termos de eficiência e também os problemas envolvidos, principalmente potenciais problemas de desempenho da aplicação. Em complemento, os contratempos identificados são administráveis, pelo que RECOMENDAMOS o prosseguimento da demanda. Ressalva-se que o ideal é que a periodicidade de envio dos e-mails seja no máximo diária, para esta atividade recomenda-se a construção de um Job que faça o envio no período desejado.