Testes de segurança

A implementação da estratégia de teste para um projeto específico. Tipicamente inclui as decisões tomadas baseando-se na meta do projeto (teste) e na avaliação …

Uma apresentação passo-a-passo do autor de um documento para coletar informações e estabelecer um entendimento comum de seu conteúdo.

Capacidade do produto de software em fornecer os resultados ou efeitos, corretos ou acordado com o grau necessário de precisão.

Ambiente que contém hardware, instrumentação, simuladores, ferramentas de software e outros elementos de suporte necessários à realização de um teste.

Produtos de software ou hardware instalados nos locais de trabalho, residência dos usuários ou consumidores, onde o componente ou sistema sendo testado será …

Ameaça de segurança proveniente de dentro da organização, muitas vezes por um usuário do sistema autorizado.

Ferramenta que realiza análise estática.

Software usado para detectar e inibir malware.

Uma técnica de análise destinada a identificar as causas-raiz dos defeitos. Ao direcionar medidas corretivas para a causa-raiz, espera-se que a probabilidade de …

O processo de avaliar os riscos identificados de um projeto ou produto para determinar seu nível de risco, geralmente estimando seu impacto e a probabilidade de …

O processo de analisar a base do teste e definir os objetivos do teste.

Processo de avaliação do comportamento. Por exemplo, o desempenho da memória ou o uso da CPU de um sistema ou componente durante sua execução.

Análise dos artefatos de desenvolvimento de software, por exemplo, requisitos ou código, realizados sem a execução desses artefatos. A análise estática é …

Um tipo de interface na qual os componentes ou sistemas envolvidos trocam informações em uma estrutura formal definida.

(1) Pessoa que fornece orientação e direção estratégica para uma organização de teste e para o seu relacionamento com outras disciplinas. (2) Pessoa que define …

Uma pessoa ou processo que tenta acessar dados, funções ou outras áreas restritas de um sistema sem autorização, com intenção potencialmente maliciosa.

Tentativa de obter acesso não autorizado a um sistema, componente, recursos, informações ou uma tentativa de comprometer a integridade de um sistema.

Uma avaliação independente de produtos ou processos de software para verificar a conformidade com padrões, diretrizes, especificações ou procedimentos, baseados …

Auditoria que avalia os processos e a infra-estrutura de segurança de uma organização.

Um procedimento que determina se uma pessoa ou um processo é, de fato, quem ou o que é declarado ser.

Permissão dada a um usuário ou processo para acessar recursos

O processo de identificar e analisar subsequentemente o risco de produto ou projeto identificado para determinar seu nível de risco, geralmente atribuindo …

Todos os documentos dos quais os requisitos de um componente ou sistema podem ser deduzidos. A documentação na qual os casos de teste são baseados. Se um …

Uma rede de computadores comprometidos, chamados bots ou robôs, que é controlada por terceiros e usada para transmitir malware ou spam, ou para lançar ataques.

Uma imperfeição em um componente ou sistema que pode fazer com que ele falhe ao executar sua função requerida, por exemplo, uma sentença incorreta ou uma …

Sequência de eventos (por exemplo, instruções executáveis) de um componente ou sistema a partir de um ponto de entrada para um ponto de saída.

Um conjunto de valores de entrada, pré-condições e pós-condições de execução, e resultados esperados, desenvolvidos para um objetivo ou uma condição específica …

Um caso de uso no qual alguns atores com intenção maliciosa estão causando danos ao sistema ou a outros atores.

Atividades executadas em cada estágio no desenvolvimento de software e como elas se relacionam umas com as outras, logicamente e cronologicamente.

Período de tempo que começa quando um produto de software é concebido e termina quando o software não está mais disponível para uso. O ciclo de vida do …

Uma parte de um domínio de entrada ou saída para o qual o comportamento de um componente ou sistema é assumido como sendo o mesmo, com base na sua …

O grau, expresso em porcentagem, para o qual um item específico de cobertura foi testado por um conjunto de testes.

A porcentagem de caminhos que foram exercidos por um conjunto de testes.

A porcentagem de desvios que foram executadas por um conjunto de testes. 100% da cobertura de desvio implica em 100% de cobertura de decisão e 100% de cobertura …

Porcentagem de instruções executáveis que tenham sido exercidas por um conjunto de testes.

O processo de obtenção de informações de conta de usuário com base na tentativa e erro com a intenção de usar essas informações em um ataque de segurança.

Uma ferramenta de software que traduz programas expressos em uma linguagem de alto nível em seus equivalentes de linguagem de máquina.

Grau de dificuldade de entendimento, manutenção e verificação que uma modelagem e/ou estrutura interna apresenta.

O número máximo de caminhos lineares e independentes em um programa. A complexidade ciclomática pode ser calculada como L = N + 2P, onde L = o número de …

A prática de determinar como um ataque de segurança teve êxito e avaliar os danos causados.

Um item ou evento de um componente ou sistema que pode ser verificado por um ou mais casos de teste, por exemplo, uma função, uma transação, um recurso, um …

A capacidade do produto de software para aderir a normas, convenções ou regulamentos em leis e prescrições similares.

Um componente de software ou ferramenta de testes que substitui um componente que é responsável pelo controle e/ou chamada de um componente ou sistema.

Os critérios de saída que um componente ou sistema deve satisfazer para ser aceito por um usuário, cliente ou outra entidade autorizada.

O conjunto de condições genéricas e específicas, acordado com os stakeholders para permitir que um processo seja oficialmente concluído. O objetivo dos …

Uma vulnerabilidade que permite aos atacantes injetar código malicioso em um site.

Dados que existem (por exemplo, em um banco de dados) antes da execução de um teste, e que afetam ou são afetados pelo componente ou sistema em teste.

Uma representação de medidas dinâmicas de desempenho operacional para alguma organização ou atividade, usando métricas representadas por metáforas como …

Um ponto no programa no qual o fluxo de controle possui duas ou mais rotas alternativas. Um nó com dois ou mais caminhos para separar ramificações.

Um ataque de segurança destinado a sobrecarregar o sistema com solicitações de tal forma que solicitações legítimas não possam ser atendidas.

O grau em que um sistema ou componente realiza suas funções designadas dentro de determinadas restrições em relação ao tempo de processamento e à taxa de …

O grau em que um componente ou sistema está operacional e acessível quando requisitado para uso. Frequentemente expresso em porcentagem.

A capacidade de produzir um resultado pretendido.

Processo de codificação de informações de modo que somente as partes autorizadas possam recuperar as informações originais, geralmente por meio de um processo …

Ação humana que produz um resultado incorreto.

Tentativa de enganar alguém para que revele informações (p.e., uma senha) que podem ser usadas para atacar sistemas ou redes

Processo passo-a-passo de reduzir as vulnerabilidades de segurança de um sistema, aplicando uma política de segurança e diferentes camadas de proteção.

Capacidade que um produto de software tem de possibilitar ao usuário entender se ele é adequado para uso, e como pode ser utilizado em determinadas tarefas e …

Uma variável (armazenada dentro ou fora de um componente) que é lida por um componente.

Capacidade que um produto de software tem para sofrer um upgrade ou para acomodar aumento de cargas.

Um documento que consiste em uma especificação do projeto de teste, do caso de teste ou do procedimento de teste.

Uma descrição de alto nível dos níveis de teste a serem executados e os seus respectivos testes para uma organização ou programa (um ou mais projetos).

Processo de executar um teste em um componente ou sistema produzindo resultados reais.

A importância de um risco, conforme definido por suas características, impacto e probabilidade. O nível de risco pode ser usado para determinar a intensidade …

Desvio do componente ou sistema de sua entrega, serviço ou resultado esperado.

Durante a fase de fechamento de um processo de teste, coletam-se dados das atividades já completadas a fim de consolidar a experiência, o testware, os fatos e …

Uma ferramenta de software que está disponível para todos os usuários em sua forma de código fonte, geralmente através da Internet, onde é permitido a seus …

Um tipo de ferramenta de teste que é capaz de executar outro software usando um script de teste automatizado, por exemplo, captura/reprodução

Ferramenta que dá suporte ao gerenciamento de teste e que controla parte deste processo. Frequentemente possui várias funcionalidades, tais como, gerenciamento …

Produto de software que dá suporte a uma ou mais atividades de um teste, entre elas, planejamento e controle, especificação, construção de arquivos iniciais e …

Componente ou conjunto de componentes que controla o tráfego de entrada e saída da rede com base em regras de segurança predeterminadas.

Uma sequência de eventos (caminhos) na execução através de um componente ou sistema.

Uma representação abstrata da sequência e possíveis alterações de estado dos objetos de dados, em que este estado pode ser qualquer criação, uso ou destruição

Capacidade que um produto de software possui de fornecer funções que atendam às necessidades declaradas e implícitas quando o software for usado sob condições …

Uma técnica de teste de software usada para descobrir vulnerabilidades de segurança, inserindo grandes quantidades de dados aleatórios, chamados fuzz, no …

Medidas que protegem e defendem os sistemas de informação assegurando a sua disponibilidade, integridade, autenticação, confidencialidade. Estas medidas incluem …

Parte do gerenciamento de qualidade que garante que os requisitos de qualidade sejam tendidos.

Disciplina que aplica o monitoramento e as direções técnicas e administrativas para identificar e documentar as características funcionais e físicas de um item …

(1) abordagem estruturada de transição de indivíduos, equipes e organizações a partir de um estado atual para um estado futuro desejado. (2) forma controlada …

Aplicação sistemática de procedimentos e práticas às tarefas de identificação, análise, priorização e controle de risco.

Uma representação abstrata de todas as sequências possíveis de eventos (caminhos) na execução através de um componente ou sistema.

Pessoa que executa ataques de segurança que foram criados por outros hackers em vez de criar os próprios.

Testador de segurança usando técnicas hacker.

Técnica criptográfica que adiciona dados aleatórios (sal - tempero) aos dados do usuário antes do hash.

Uma regra prática geralmente reconhecida que ajuda a atingir um objetivo.

A interceptação, imitação, e/ou alteração e posteriormente de afinação de comunicações (por exemplo, transações de cartão de crédito) por um terceiro, de tal …

O processo de encontrar, reconhecer e descrever riscos.

O dano que será causado caso o risco se tornar um resultado real ou evento.

O processo de desenvolvimento e priorização de procedimentos de teste, criação de dados de teste e, opcionalmente, preparação dos ambientes e gravação dos …

Qualquer evento ocorrido que requer uma investigação.

Uma medida que pode ser usada para estimar ou prever outra medida.

Uma métrica que suporta o julgamento do desempenho do processo.

Um tipo de ataque de segurança realizado pela inserção de código mal-intencionado em uma interface de um aplicativo para explorar a manipulação inadequada de …

Um tipo de revisão em pares que se baseia no exame visual de documentos para detectar defeitos, por exemplo, violações de padrões de desenvolvimento e não …

Entidade em uma linguagem de programação, que normalmente é a menor unidade indivisível de execução.

Instrução que, quando compilada, é traduzida em código objeto, e que poderá ser executada através de procedimentos quando um programa está sendo executado, …

Grau em que um componente ou sistema permite apenas acesso e modificação autorizados a um componente, sistema ou dados.

Todos os componentes de um sistema que fornecem informações e controles para o usuário realizar tarefas específicas com o sistema.

Um tipo de interface que permite aos usuários interagirem com um componente ou sistema através de ícones gráficos e indicadores visuais.

Software que se destina a prejudicar um sistema ou seus componentes.

Modificação de um produto de software após a sua entrega para corrigir defeitos, melhorar o seu desempenho ou outros atributos, ou ainda adaptá-lo a uma …

Transformação de dados que torna difícil para um ser humano reconhecer os dados originais.

Número ou categoria assinalada a um atributo de uma entidade através de uma medição.

O processo pelo qual as decisões são tomadas e medidas de proteção são implementadas para reduzir ou manter os riscos dentro dos níveis determinados.

Framework onde os processos da mesma natureza são classificados em um modelo global, por exemplo um modelo de melhoria de teste.

Escala de medição e o método utilizado para a medição.

Razão ou finalidade por trás da modelagem e da execução de um teste.

Componente ou sistema a ser testado.

Conjunto formal de requisitos, eventualmente obrigatório, desenvolvido e usado para prescrever formas coerentes de trabalho ou para fornecer orientações (por …

Um padrão que descreve as características de um projeto ou uma descrição de modelo de dados ou componentes do programa.

Ataque de segurança destinado a direcionar o tráfego de um site para um site fraudulento sem o conhecimento ou consentimento do usuário.

Tentativa de adquirir informações pessoais ou sensíveis mascarando-se como uma entidade confiável em uma comunicação eletrônica.

Atividade de criação ou atualização de um plano de teste.

Um documento descrevendo o escopo, a abordagem, os recursos e o cronograma das atividades de teste pretendidas. Ele identifica, entre outros, os itens de teste, …

Documento de alto nível que descreve os princípios, a abordagem e os principais objetivos da organização em matéria de segurança.

Documento de alto nível que descreve os princípios, abordagem, e os principais objetivos da organização em relação aos testes.

Nível de importância (do negócio) designado a um item, por exemplo, defeito.

A protecção de informações de identificação pessoal ou de informações sensíveis de divulgação indesejada.

A probabilidade estimada de que um risco se tornará um resultado real ou evento.

Um conjunto de etapas necessárias para implementar a política de segurança e as serem tomadas em resposta a um incidente de segurança

O processo fundamental de teste compreende o planejamento e o controle do teste, a análise e o projeto de teste, a implementação e a execução, a avaliação dos …

Condições ambientais e de estado que devem ser cumpridas após a execução de um teste ou de um procedimento de teste.

Ataque de segurança recuperando senhas secretas armazenadas em um sistema de computador ou transmitidas por uma rede

Exploração de uma área alvo com o objetivo de obter informações que podem ser úteis para um ataque.

Um documento que reporta qualquer falha em um componente ou sistema que possa fazer com ele falhe ao executar sua função requerida.

Um documento relatando qualquer evento ocorrido que requer uma investigação, por exemplo, durante o teste.

Consequência ou resultado da execução de um teste. Inclui saídas para as telas, alterações de dados, envio de relatórios e mensagens.

O comportamento previsto pela especificação, ou outra fonte, do componente ou sistema sob condições específicas.

Comportamento produzido/observado quando um componente ou sistema é testado.

Teste que executa casos de teste que falharam na última vez em que foram executados, a fim de verificar o sucesso das ações corretivas.

Uma avaliação do status de um produto ou projeto para averiguar discrepâncias em seus resultados planejados e recomendar melhorias. Os exemplos incluem a …

Uma atividade de discussão em grupo que se concentra em alcançar um consenso sobre a abordagem técnica a ser adotada.

Fator que pode resultar em consequências negativas, normalmente expresso em termos de impacto e possibilidade.

Um risco de qualidade relacionado à segurança

Atributos de produtos de software que afetam sua capacidade de impedir o acesso não autorizado, acidental ou deliberado, à programas e dados.

Grau de impacto que um defeito tem sobre o desenvolvimento ou operação de um componente ou sistema.

Um esqueleto ou uma implementação com finalidade especial de um componente de software, usado para desenvolver ou testar um componente que chama ou que seja …

Análise estática com o objetivo de detectar e remover códigos maliciosos recebidos em uma interface.

Vários sistemas heterogêneos e distribuídos que estão inseridos em redes em vários níveis e em múltiplos domínios interligados, para tratar problemas e …

Um produto de software desenvolvido para o mercado geral, ou seja, para um grande número de clientes, e que é entregue em formato idêntico.

Ataque de segurança inserindo instruções SQL mal-intencionadas em um campo de entrada para execução.

A capacidade que um produto de software possui de permitir que ele seja modificado e testado.

Profissional habilitado e envolvido no teste de um componente ou sistema.

O processo que consiste em todas as atividades do ciclo de vida, estáticas e dinâmicas, relacionadas ao planejamento, preparação e avaliação de um componente ou …

Testes baseados ou envolvendo modelos.

Abordagem de teste em quue casos de teste são modelados baseando-se em objetivos de teste e condições de teste derivados dos requisitos, por exemplo, testes que …

Teste baseado na análise da estrutura interna de um componente ou sistema.

Técnica de modelagem de teste caixa-branca na qual os casos de teste são modelados para executar caminhos.

O teste de componentes individuais de software.

Coleta e análise de dados a partir de atividades de teste e, posteriormente, a consolidação dos dados em um relatório para informar as partes interessadas.

Teste para determinar a segurança do produto de software.

Teste realizado com a finalidade de expor defeitos nas interfaces e nas interações entre componentes ou sistemas integrados.

Testes realizados para expor os defeitos nas interfaces e interação entre os componentes integrados.

Teste da integração de sistemas e pacotes; teste das interfaces para organizações externas (por exemplo, Electronic Data Interchange, Internet).

Técnica de teste com o objetivo de explorar vulnerabilidades de segurança (conhecidas ou desconhecidas) para obter acesso não autorizado.

Teste em um programa já testado anteriormente após uma modificação para garantir que defeitos não tenham sido introduzidos ou descobertos em áreas inalteradas …

Teste em um sistema integrado para verificar se ele atende aos requisitos especificados.

Testes que envolvem a execução de um software, um componente ou um sistema.

Teste de um artefato de desenvolvimento de software, por exemplo, requisitos, desenho ou código, sem a execução desses artefatos, por exemplo, revisões ou …

Teste baseado em uma análise da especificação da funcionalidade de um componente ou sistema.

Uma técnica de script que armazena as entrada de teste e os resultados esperados em uma tabela ou planilha, para que um único script de controle possa executar …

Um grupo de atividades de teste destinadas a testar um componente ou sistema focado em um objetivo específico de teste, ou seja, teste funcional, teste de …

Confirmação, por meio de exames e do fornecimento de evidências objetivas, que os requisitos de uso ou aplicação específica tencionada foram atendidos.

Analisador estático que é usado para detectar vulnerabilidades de segurança específicas no código.

Confirmação por meio de teste e do fornecimento de evidências objetivas que os requisitos especificados foram atendidos.

Um caminho ou meio pelo qual um intruso pode obter acesso a um sistema para fins maliciosos.

Fraqueza no sistema que poderia permitir um ataque de segurança bem-sucedido.

Uma sub-rede com um nível de confiança definido. Por exemplo, a Internet ou uma zona pública seria considerada não confiável.

Subrede física ou lógica que contém e expõe os serviços externos voltados para uma rede não confiável, comumente a Internet.