Testes de segurança

Implementação da estratégia de testes para um projeto específico.

Ambiente que contém hardware, instrumentação, simuladores, ferramentas de software e outros elementos de suporte necessários para realizar um teste.

Produtos de hardware e software instalados nas instalações dos utilizadores ou clientes onde o componente ou sistema sob teste será usado. O software pode …

Uma ameaça de segurança proveniente do interior da própria organização, frequentemente por um utilizador autorizado do sistema.

Ferramenta que efetua análise estática.

Software usado para detetar e travar malware.

Uma técnica de análise com o objetivo de identificar as origens de defeitos. Ao direcionar medidas corretivas para as origens dos defeitos, espera-se que a …

O processo global de identificação e avaliação de riscos.

Atividade que identifica as condições de teste analisando a base para testes.

O processo de avaliação de um componente ou sistema baseado no seu comportamento durante a execução.

Processo de avaliação de um componente ou sistema sem o executar, com base na sua forma, estrutura, conteúdo ou documentação.

(1) Pessoa que fornece orientações e direções estratégicas para uma organização de teste e para o seu relacionamento com outras disciplinas. (2) Uma pessoa que …

Uma tentativa para obter acesso não autorizado a um componente ou sistema, obter recursos, obter informação ou uma tentativa de comprometer a integridade do …

Interceção, mimetização e/ou alteração e subsequente transmissão de comunicações (por exemplo, transações com cartão de crédito) por terceiros, de modo que um …

Um exame independente de um produto de trabalho, processo ou conjunto de processos que é executado por terceiros para avaliar a conformidade com as …

Uma auditoria que avalia os processos de segurança e a infraestrutura de uma organização.

Um procedimento que determina se uma pessoa ou um processo é, na verdade, quem ou o que diz ser.

Permissão dada a um utilizador ou processo para aceder a recursos.

Processo para examinar os riscos identificados e determinar o nível de risco.

Conjunto de conhecimento utilizado como base para a análise e conceção de testes.

Uma rede de computadores comprometidos, denominados bots ou robôs, que é controlada por terceiros e usada para transmitir malware ou spam ou para iniciar …

Uma sequência de eventos, por exemplo, as instruções executáveis de um componente ou sistema, desde um ponto de entrada até um ponto de saída.

Um caso de uso em que alguns atores, com intenção maliciosa, estão deliberadamente a causar danos ao sistema ou a outros atores.

Conjunto de pré-condições, entradas (“inputs”), ações (quando aplicável), resultados esperados e pós-condições, desenvolvido com base nas condições de teste.

As atividades realizadas em cada fase do desenvolvimento de software e a forma como elas se relacionam entre si lógica e cronologicamente.

Período de tempo que começa quando um produto de software é concebido e termina quando o software deixa de estar disponível para utilização. O ciclo de vida do …

O grau em que os itens de cobertura especificados foram determinados ou foram executados por uma bateria de testes, expresso em percentagem.

Cobertura dos caminhos.

A cobertura de instruções executáveis.

A cobertura dos ramos.

Um programa de computador que traduz programas expressos numa linguagem de alto nível nos seus equivalentes de linguagem-máquina.

O grau em que um componente ou sistema possui um design e / ou estrutura interna que é difícil de entender, manter e verificar.

O número máximo de caminhos lineares independentes através de um programa.

Um aspeto testável de um componente ou sistema identificado como base para o teste.

Aderência do componente ou sistema aos padrões, convenções ou regulamentos em leis e prescrições semelhantes.

O grau em que um componente ou sistema fornece os resultados corretos com o grau de precisão necessário.

Componente, ou ferramenta, temporário que substitui outro componente e que controla ou invoca um item de teste isoladamente.

Os critérios que um componente ou sistema deve satisfazer para ser aceite por um utilizador, cliente ou outra entidade autorizada.

O conjunto de condições para concluir oficialmente uma tarefa definida.

Uma vulnerabilidade que permite que invasores injetem código malicioso num site que de outra forma seria benigno.

Dados necessários para a execução do teste.

O processo de procurar, analisar e remover as causas de falhas num componente ou sistema.

Um ataque de segurança que recupera palavras-passe secretas armazenadas num sistema informático ou transmitidas através de uma rede.

Um tipo de declaração em que uma escolha entre dois ou mais resultados possíveis controla o conjunto de ações resultantes.

Imperfeição ou deficiência num produto de trabalho, em que o mesmo não cumpre os seus requisitos ou especificações.

O grau em que um componente ou sistema está operacional e acessível quando necessário para uso.

Grau relativo à capacidade de obtenção de resultados de forma precisa e completa, em relação aos recursos utilizados.

Capacidade de um componente ou sistema utilizar o tempo, os recursos e a capacidade de realizar as respetivas funções designadas.

Medida em que os objetivos corretos e completos são alcançados.

O processo de codificação de informações para que apenas as partes autorizadas possam obter as informações originais, geralmente através de uma chave ou …

Uma tentativa de enganar alguém para revelar informações (por exemplo, uma palavra-passe) que pode ser usada para atacar sistemas ou redes.

Dados recebidos de uma fonte externa por um componente ou sistema.

Uma ação humana que produz um resultado incorreto.

A capacidade do produto de software para ser atualizado para acomodar cargas maiores.

Documentação completa da conceção de teste, os casos de teste e os procedimentos de teste para um item de teste específico.

Documentação alinhada com a política de testes que descreve os requisitos genéricos para os testes e detalhes sobre como realizar testes dentro de uma …

O processo de obtenção de informações de contas de utilizadores com base em tentativa e erro, com a intenção de usar essas informações num ataque de segurança.

Um evento no qual um componente ou sistema não executa uma função necessária dentro dos limites especificados.

Durante a fase de fecho dos testes de um processo de teste, são recolhidos dados das atividades concluídas para consolidar a experiência, o testware, os factos …

Ferramenta de teste que executa testes em relação a um item de teste designado e avalia os resultados em relação aos resultados esperados e às pós-condições.

Ferramenta que suporta a gestão de testes.

Software ou hardware que suporta uma ou mais atividades de teste.

Ferramenta de software que está disponível para todos os utilizadores potenciais em formato de código-fonte, geralmente através da Internet. Os seus …

Um componente ou conjunto de componentes que controla o tráfego de rede de entrada e saída com base em regras de segurança pré-determinadas.

A sequência na qual as operações são realizadas por um processo de negócio, componente ou sistema.

Uma representação abstrata da sequência e possíveis alterações do estado dos objetos de dados, em que o estado de um objeto corresponde a qualquer criação, …

O processo passo a passo que visa reduzir as vulnerabilidades de segurança de um sistema aplicando uma política de segurança e diferentes camadas de proteção.

Medidas que protegem e defendem a informação e os sistemas de informação, garantindo a sua disponibilidade, integridade, autenticação, confidencialidade e …

Atividades centradas em proporcionar confiança no cumprimento dos requisitos de qualidade.

Pessoa responsável pela gestão das atividades de teste, dos recursos e da avaliação do objeto de teste no âmbito de um projeto.

(1) Uma abordagem estruturada para a transição de indivíduos e organizações de um estado atual para um estado futuro pretendido. (2) Forma controlada de efetuar …

Uma disciplina que aplica orientação técnica e administrativa, e vigilância para identificar e documentar as características funcionais e físicas de um item de …

O processo para lidar com riscos.

Uma representação abstrata de todos os possíveis fluxos de controlo num componente ou sistema.

O grau de impacto que um defeito tem no desenvolvimento ou funcionamento de um componente ou sistema.

Uma pessoa ou organização que está ativamente envolvida em ataques de segurança, normalmente com intenção maliciosa.

Um testador de segurança que utiliza técnicas de hacker.

Transformação de uma cadeia de caracteres de comprimento variável num valor ou chave normalmente menor de comprimento fixo. Os valores de hash, ou hashes, são …

Um princípio básico geralmente reconhecido que ajuda a alcançar um objetivo.

O processo de encontrar, reconhecer e descrever riscos.

Os danos que serão causados se o risco se tornar um resultado ou evento real.

A atividade que prepara o testware necessário para a execução do teste com base na análise e na conceção de teste.

Um evento que requer investigação.

Uma medida que fornece uma estimativa ou avaliação de atributos especificados derivados de um modelo em relação às necessidades de informação definidas.

Métrica que suporta a avaliação do desempenho do processo.

A prática de determinar como um ataque de segurança foi bem-sucedido e avaliar os danos causados.

Tipo de ataque de segurança executado inserindo código malicioso numa interface de uma aplicação para explorar o tratamento inadequado de dados não confiáveis.

Um ataque de segurança que consiste em inserir instruções SQL maliciosas num campo de entrada para execução.

Tipo de revisão formal para identificar problemas num produto de trabalho, que fornece medidas para melhorar o processo de revisão e o processo de …

Entidade numa linguagem de programação que é tipicamente a menor unidade indivisível de execução.

Uma instrução que, quando compilada, é traduzida em código do objeto e que será executada de forma processual quando o programa estiver em execução e conseguir …

O grau em que um componente ou sistema permite apenas o acesso e a modificação autorizados a um componente, a um sistema ou a dados.

Tipo de interface em que os componentes ou sistemas envolvidos trocam informações numa estrutura formal definida.

Todos os componentes de um sistema que fornecem informações e controlos para que o utilizador realize tarefas específicas com o sistema.

Um tipo de interface que permite que os utilizadores interajam com um componente ou sistema por meio de ícones gráficos e indicadores visuais.

Uma pessoa ou processo que tenta aceder a dados, funções ou outras áreas restritas do sistema sem autorização, potencialmente com intenção maliciosa.

Software destinado a prejudicar um sistema ou os seus componentes.

Processo de modificação de um componente ou sistema após a sua entrega. Tem com objetivo corrigir defeitos, melhorar as características de qualidade ou a …

Número ou categoria atribuído a um atributo de uma entidade através de uma medição.

O processo através do qual são tomadas decisões e implementadas medidas de proteção para reduzir ou manter os riscos para níveis especificados.

Framework em que os processos da mesma natureza são classificados num modelo global.

Escala de medição e o método utilizado para a medição.

Um ataque de segurança destinado a sobrecarregar o sistema com pedidos, de modo a que não seja possível responder aos pedidos legítimos.

Conjunto de requisitos formais, possivelmente obrigatório, desenvolvidos e utilizados para prescrever abordagens consistentes à forma de trabalhar ou para …

Norma que descreve as características de uma conceção ou uma descrição de conceção dos dados ou componentes do programa.

A medida qualitativa ou quantitativa de um risco, definida por impacto e probabilidade.

Motivo ou a finalidade do teste.

Produto de trabalho a ser testado.

Transformação de dados que torna difícil para um ser humano reconhecer os dados originais.

Uma representação de medições dinâmicas do desempenho operacional para alguma organização ou atividade, utilizando métricas representadas por metáforas, como …

Subconjunto do domínio de valor de uma variável dentro de um componente ou sistema para o qual se assume, baseado na especificação, que todos os valores devem …

Um ataque de segurança destinado a redirecionar o tráfego de um site para outro site fraudulento sem o conhecimento ou consentimento do utilizador.

Uma tentativa de obter informações pessoais ou sensíveis, mascarando o seu autor como uma entidade confiável numa comunicação eletrónica.

A atividade de estabelecer ou atualizar um plano de testes.

Documentação que descreve os objetivos do teste a serem alcançados e os meios e o cronograma para os alcançar, organizada para coordenar as atividades de teste.

Um documento de alto nível que descreve os princípios, a abordagem e os principais objetivos da organização em relação à segurança.

Documento de alto nível que descreve os princípios, a abordagem e os principais objetivos da organização em relação aos testes.

Nível de importância (de negócio) atribuído a um item, por exemplo, um defeito.

A proteção de informações pessoalmente identificáveis ou outras informações sensíveis contra a divulgação indesejada.

A probabilidade estimada de um risco se tornar um resultado ou evento real.

Um conjunto de passos necessários para implementar a política de segurança e os passos a serem adotados em resposta a um incidente de segurança.

Conjunto de atividades inter-relacionadas que incluem o plano de teste, a sua monitorização e o controlo, bem como a análise de teste, a conceção, a …

O estado esperado de um item de teste e o respetivo ambiente no final da execução do caso de teste.

A exploração de uma área-alvo com o objetivo de obter informações que possam ser úteis para um ataque.

O grau em que os utilizadores podem reconhecer se um componente ou sistema é adequado às suas necessidades.

Documentação da ocorrência, natureza e estado de um defeito.

Documentação da ocorrência, natureza e estado de um incidente.

Cláusula que contém critérios a serem cumpridos.

O comportamento produzido/observado quando um componente ou sistema é testado.

Consequência/resultado da execução de um teste. Inclui saídas (“outputs”) para ecrãs, alterações aos dados, relatórios e comunicações enviadas.

Comportamento observável de um componente ou sistema em execução, previsto pela sua especificação ou outra fonte, de acordo com as condições especificadas.

Tipo de teste estático no qual um produto ou processo de trabalho é avaliado por um ou mais indivíduos para detetar defeitos ou para fornecer melhorias.

Tipo de revisão formal por uma equipa de pessoal tecnicamente qualificado que examina a qualidade de um produto de trabalho e identifica discrepâncias em …

Fator que pode resultar em futuras consequências negativas.

Um risco de qualidade relacionado com a segurança.

Uma técnica criptográfica que adiciona dados aleatórios (denominados de “sal”) aos dados do utilizador antes do hash.

Dado transmitido por um componente ou sistema para um destino externo.

Um analisador estático usado para detetar vulnerabilidades de segurança específicas no código.

Sequência de instruções para a execução de uma bateria de testes.

Uma pessoa que executa ataques de segurança criados por outros hackers em vez de criar os seus próprios ataques.

Capaciadade de um componente ou sistema proteger a informação e os dados, de modo a que as pessoas ou outros componentes ou sistemas tenham o grau de acesso …

Uma implementação elementar ou com finalidade específica de um componente de software, usada para desenvolver ou testar o componente que invoca ou que de outra …

Um sistema que monitoriza as atividades nas 7 camadas do modelo OSI, desde a rede até ao nível da aplicação, a fim de detetar violações da política de …

Sistemas heterogéneos, múltiplos e distribuídos que são incorporados em redes em vários níveis e em domínios interligados múltiplos, abordando problemas e …

Um tipo de produto desenvolvido num formato idêntico para um grande número de clientes no mercado geral.

O grau em que as condições de teste podem ser estabelecidas para um componente ou sistema para que os testes possam então ser realizados para determinar se …

Pessoa que realiza testes.

Processo que consiste em todas as atividades do ciclo de vida, estáticas e dinâmicas, relativas ao planeamento, à preparação e à avaliação de um componente ou …

Teste baseado em ou envolvendo modelos.

Uma abordagem aos testes em que os casos de teste são concebidos com base em requisitos.

Testes baseados numa análise da estrutura interna do componente ou sistema.

Técnica de teste caixa-branca na qual os casos de teste são concebidos para executar caminhos.

Um nível de teste que se foca em componentes individuais de hardware ou software.

Um tipo de teste relacionado com alterações, realizado após a correção de um defeito para confirmar que uma falha causada por esse defeito não ocorre novamente.

Uma técnica de teste de software usada para descobrir vulnerabilidades de segurança, introduzindo quantidades enormes de dados aleatórios, denominados fuzz, no …

Nível de teste que se concentra nas interações entre componentes ou sistemas.

Teste em que os itens a testar são interfaces e interações entre componentes integrados.

Nível de teste que se concentra nas interações entre sistemas.

Uma técnica de teste que visa explorar vulnerabilidades de segurança (conhecidas ou desconhecidas) para obter acesso não autorizado.

Tipo de teste relacionado com alterações para detetar se foram introduzidos ou descobertos defeitos em áreas inalteradas do software.

Testar para determinar a segurança de um produto de software.

Nível de teste que se concentra em verificar se um sistema satisfaz os requisitos especificados, como um todo.

Teste que implica a execução do item de teste.

Testar um produto de trabalho sem executar o código do produto de trabalho.

Testes realizados para avaliar se um componente ou sistema satisfaz os requisitos funcionais.

Técnica de “script” que usa ficheiros de dados para conter os dados de teste e os resultados esperados necessários para executar os “scripts” de teste.

Grupo de atividades de teste com base em objetivos de teste específicos destinados a avaliar características específicas de um componente ou sistema.

O grau em que um componente ou sistema pode ser usado por um padrão de utilizadores para atingir os objetivos num determinado contexto de uso.

Confirmação por análise e fornecimento de provas objetivas de que os requisitos foram cumpridos para uma utilização ou pedido específico.

Análise estática com o objetivo de detetar e remover código malicioso recebido numa interface.

Confirmação por análise e fornecimento de provas objetivas de que os requisitos especificados foram cumpridos.

Um caminho ou os meios pelos quais um invasor pode obter acesso a um sistema para fins maliciosos.

Uma fraqueza no sistema que poderia permitir um ataque de segurança bem-sucedido.

Um tipo de revisão em que o autor de um produto de trabalho lidera os membros da revisão e esses membros fazem perguntas e comentários sobre possíveis problemas …

Uma subrede com um nível de confiança definido. Por exemplo, a Internet ou uma zona pública seriam consideradas não confiáveis.

Uma subrede física ou lógica que contém e expõe os serviços externos de uma organização a uma rede não confiável, geralmente a Internet.