Regras de segurança

As regras de segurança suportam bibliotecas e aplicações mais seguras. Estas regras ajudam a evitar falhas de segurança no seu programa. Se você desativar qualquer uma dessas regras, você deve marcar claramente o motivo no código e também informar o oficial de segurança designado para o seu projeto de desenvolvimento.

Nesta secção

Regra	Description
CA2100: Revisar consultas SQL em busca de vulnerabilidades de segurança	Um método define a propriedade System.Data.IDbCommand.CommandText usando uma cadeia de caracteres que é criada a partir de um argumento de cadeia de caracteres para o método. Esta regra pressupõe que o argumento string contém entrada do usuário. Uma cadeia de caracteres de comando SQL criada a partir da entrada do usuário é vulnerável a ataques de injeção de SQL.
CA2109: Revisar manipuladores de eventos visíveis	Foi detetado um método de manipulação de eventos público ou protegido. Os métodos de manipulação de eventos não devem ser expostos, a menos que seja absolutamente necessário.
CA2119: Métodos de vedação que satisfazem interfaces privadas	Um tipo público hereditário fornece uma implementação de método substituível de uma interface interna (Friend no Visual Basic). Para corrigir uma violação dessa regra, impeça que o método seja substituído fora do assembly.
CA2153: Evite lidar com exceções de estado corrompido	Exceções de estado corrompidas (CSE) indicam que existe corrupção de memória em seu processo. Detetá-los em vez de permitir que o processo falhe pode levar a vulnerabilidades de segurança se um invasor puder colocar uma exploração na região de memória corrompida.
CA2300: Não use o desserializador inseguro BinaryFormatter	Desserializadores inseguros são vulneráveis ao desserializar dados não confiáveis. Um invasor pode modificar os dados serializados para incluir tipos inesperados para injetar objetos com efeitos colaterais mal-intencionados.
CA2301: Não chame BinaryFormatter.Deserialize sem primeiro definir BinaryFormatter.Binder	Desserializadores inseguros são vulneráveis ao desserializar dados não confiáveis. Um invasor pode modificar os dados serializados para incluir tipos inesperados para injetar objetos com efeitos colaterais mal-intencionados.
CA2302: Verifique se BinaryFormatter.Binder está definido antes de chamar BinaryFormatter.Deserialize	Desserializadores inseguros são vulneráveis ao desserializar dados não confiáveis. Um invasor pode modificar os dados serializados para incluir tipos inesperados para injetar objetos com efeitos colaterais mal-intencionados.
CA2305: Não use o desserializador inseguro LosFormatter	Desserializadores inseguros são vulneráveis ao desserializar dados não confiáveis. Um invasor pode modificar os dados serializados para incluir tipos inesperados para injetar objetos com efeitos colaterais mal-intencionados.
CA2310: Não use o desserializador inseguro NetDataContractSerializer	Desserializadores inseguros são vulneráveis ao desserializar dados não confiáveis. Um invasor pode modificar os dados serializados para incluir tipos inesperados para injetar objetos com efeitos colaterais mal-intencionados.
CA2311: Não desserialize sem primeiro definir NetDataContractSerializer.Binder	Desserializadores inseguros são vulneráveis ao desserializar dados não confiáveis. Um invasor pode modificar os dados serializados para incluir tipos inesperados para injetar objetos com efeitos colaterais mal-intencionados.
CA2312: Verifique se NetDataContractSerializer.Binder está definido antes de desserializar	Desserializadores inseguros são vulneráveis ao desserializar dados não confiáveis. Um invasor pode modificar os dados serializados para incluir tipos inesperados para injetar objetos com efeitos colaterais mal-intencionados.
CA2315: Não use o desserializador inseguro ObjectStateFormatter	Desserializadores inseguros são vulneráveis ao desserializar dados não confiáveis. Um invasor pode modificar os dados serializados para incluir tipos inesperados para injetar objetos com efeitos colaterais mal-intencionados.
CA2321: Não desserializar com JavaScriptSerializer usando um SimpleTypeResolver	Desserializadores inseguros são vulneráveis ao desserializar dados não confiáveis. Um invasor pode modificar os dados serializados para incluir tipos inesperados para injetar objetos com efeitos colaterais mal-intencionados.
CA2322: Verifique se JavaScriptSerializer não é inicializado com SimpleTypeResolver antes de desserializar	Desserializadores inseguros são vulneráveis ao desserializar dados não confiáveis. Um invasor pode modificar os dados serializados para incluir tipos inesperados para injetar objetos com efeitos colaterais mal-intencionados.
CA2326: Não use valores TypeNameHandling diferentes de Nenhum	Desserializadores inseguros são vulneráveis ao desserializar dados não confiáveis. Um invasor pode modificar os dados serializados para incluir tipos inesperados para injetar objetos com efeitos colaterais mal-intencionados.
CA2327: Não use JsonSerializerSettings inseguro	Desserializadores inseguros são vulneráveis ao desserializar dados não confiáveis. Um invasor pode modificar os dados serializados para incluir tipos inesperados para injetar objetos com efeitos colaterais mal-intencionados.
CA2328: Verifique se JsonSerializerSettings é seguro	Desserializadores inseguros são vulneráveis ao desserializar dados não confiáveis. Um invasor pode modificar os dados serializados para incluir tipos inesperados para injetar objetos com efeitos colaterais mal-intencionados.
CA2329: Não desserializar com JsonSerializer usando uma configuração insegura	Desserializadores inseguros são vulneráveis ao desserializar dados não confiáveis. Um invasor pode modificar os dados serializados para incluir tipos inesperados para injetar objetos com efeitos colaterais mal-intencionados.
CA2330: Certifique-se de que JsonSerializer tenha uma configuração segura ao desserializar	Desserializadores inseguros são vulneráveis ao desserializar dados não confiáveis. Um invasor pode modificar os dados serializados para incluir tipos inesperados para injetar objetos com efeitos colaterais mal-intencionados.
CA2350: Verifique se a entrada de DataTable.ReadXml() é confiável	Ao desserializar uma entrada não confiável, um invasor pode criar uma DataTable entrada mal-intencionada para executar um ataque de negação de serviço. Pode haver vulnerabilidades desconhecidas de execução remota de código.
CA2351: Verifique se a entrada de DataSet.ReadXml() é confiável	Ao desserializar uma entrada não confiável, um invasor pode criar uma DataSet entrada mal-intencionada para executar um ataque de negação de serviço. Pode haver vulnerabilidades desconhecidas de execução remota de código.
CA2352: DataSet ou DataTable não seguros em tipo serializável podem ser vulneráveis a ataques de execução remota de código	Uma classe ou struct marcada com SerializableAttribute contém um campo ou DataTable propriedade e não tem um DataSetGeneratedCodeAttributearquivo .
CA2353: DataSet ou DataTable não seguro no tipo serializável	Uma classe ou struct marcada com um atributo de serialização XML ou um atributo de contrato de dados contém um DataSet campo ou DataTable propriedade.
CA2354: DataSet ou DataTable não seguros no gráfico de objetos desserializados podem ser vulneráveis a ataques de execução remota de código	Desserialização com um serializado, e o gráfico de objeto do tipo transmitido pode incluir um System.Runtime.Serialization.IFormatterDataSet ou DataTable.
CA2355: DataSet ou DataTable não seguro no gráfico de objeto desserializado	Desserialização quando o gráfico de objeto do tipo transmitido ou especificado pode incluir um DataSet ou DataTable.
CA2356: DataSet ou DataTable não seguro no gráfico de objeto desserializado da Web	Um método com um ou tem um System.Web.Services.WebMethodAttribute parâmetro que pode fazer referência a ou DataSetDataTable.System.ServiceModel.OperationContractAttribute
CA2361: Verifique se a classe gerada automaticamente que contém DataSet.ReadXml() não é usada com dados não confiáveis	Ao desserializar uma entrada não confiável, um invasor pode criar uma DataSet entrada mal-intencionada para executar um ataque de negação de serviço. Pode haver vulnerabilidades desconhecidas de execução remota de código.
CA2362: DataSet ou DataTable não seguros no tipo serializável gerado automaticamente podem ser vulneráveis a ataques de execução remota de código	Ao desserializar entradas não confiáveis com BinaryFormatter e o gráfico de objeto desserializado contém um ou DataTable, um invasor pode criar uma carga mal-intencionada para executar um DataSet ataque de execução remota de código.
CA3001: Revisar o código para vulnerabilidades de injeção de SQL	Ao trabalhar com entrada não confiável e comandos SQL, esteja atento aos ataques de injeção de SQL. Um ataque de injeção de SQL pode executar comandos SQL mal-intencionados, comprometendo a segurança e a integridade do seu aplicativo.
CA3002: Revisar o código para vulnerabilidades de XSS	Ao trabalhar com entradas não confiáveis de solicitações da Web, esteja atento aos ataques de script entre sites (XSS). Um ataque XSS injeta entrada não confiável na saída HTML bruta, permitindo que o invasor execute scripts mal-intencionados ou modifique maliciosamente o conteúdo em sua página da Web.
CA3003: Revise o código para vulnerabilidades de injeção de caminho de arquivo	Ao trabalhar com entradas não confiáveis de solicitações da Web, esteja atento ao uso de entradas controladas pelo usuário ao especificar caminhos para arquivos.
CA3004: Revisar o código para vulnerabilidades de divulgação de informações	A divulgação de informações de exceção dá aos invasores informações sobre os internos do seu aplicativo, o que pode ajudar os invasores a encontrar outras vulnerabilidades para explorar.
CA3006: Revise o código para vulnerabilidades de injeção de comando de processo	Ao trabalhar com informações não confiáveis, esteja atento aos ataques de injeção de comando. Um ataque de injeção de comando pode executar comandos maliciosos no sistema operacional subjacente, comprometendo a segurança e a integridade do seu servidor.
CA3007: Revisar o código para vulnerabilidades de redirecionamento aberto	Ao trabalhar com informações não confiáveis, esteja atento às vulnerabilidades de redirecionamento abertas. Um invasor pode explorar uma vulnerabilidade de redirecionamento aberta para usar seu site para dar a aparência de um URL legítimo, mas redirecionar um visitante desavisado para um phishing ou outra página da Web mal-intencionada.
CA3008: Revisar o código para vulnerabilidades de injeção XPath	Ao trabalhar com entradas não confiáveis, esteja atento aos ataques de injeção XPath. A construção de consultas XPath usando entradas não confiáveis pode permitir que um invasor manipule maliciosamente a consulta para retornar um resultado não intencional e, possivelmente, divulgue o conteúdo do XML consultado.
CA3009: Revisar o código para vulnerabilidades de injeção de XML	Ao trabalhar com entradas não confiáveis, esteja atento aos ataques de injeção de XML.
CA3010: Revisar o código para vulnerabilidades de injeção de XAML	Ao trabalhar com entradas não confiáveis, esteja atento aos ataques de injeção de XAML. XAML é uma linguagem de marcação que representa diretamente a instanciação e a execução de objetos. Isso significa que os elementos criados em XAML podem interagir com recursos do sistema (por exemplo, acesso à rede e E/S do sistema de arquivos).
CA3011: Revise o código para vulnerabilidades de injeção de DLL	Ao trabalhar com entradas não confiáveis, esteja atento ao carregamento de código não confiável. Se o seu aplicativo Web carregar código não confiável, um invasor poderá injetar DLLs mal-intencionadas em seu processo e executar código mal-intencionado.
CA3012: Revisar o código para vulnerabilidades de injeção de regex	Ao trabalhar com entradas não confiáveis, esteja atento aos ataques de injeção de regex. Um invasor pode usar a injeção de regex para modificar maliciosamente uma expressão regular, para fazer com que o regex corresponda a resultados não intencionais ou para fazer com que o regex consuma CPU excessiva, resultando em um ataque de negação de serviço.
CA3061: Não adicionar esquema por URL	Não use a sobrecarga insegura do método Add porque ele pode causar referências externas perigosas.
CA3075: Processamento DTD inseguro	Se você usar instâncias inseguras de DTDProcessing ou fazer referência a fontes de entidades externas, o analisador poderá aceitar entradas não confiáveis e divulgar informações confidenciais a invasores.
CA3076: Execução de script XSLT insegura	Se você executar XSLT (Extensible StyleSheet Language Transformations) em aplicativos .NET de forma insegura, o processador poderá resolver referências de URI não confiáveis que podem divulgar informações confidenciais a invasores, levando a ataques de negação de serviço e entre sites.
CA3077: Processamento não seguro em design de API, documento XML e leitor de texto XML	Ao projetar uma API derivada de XMLDocument e XMLTextReader, esteja atento ao DtdProcessing. O uso de instâncias inseguras de DTDProcessing ao referenciar ou resolver fontes de entidades externas ou definir valores inseguros no XML pode levar à divulgação de informações.
CA3147: Marcar manipuladores de verbos com ValidateAntiForgeryToken	Ao projetar um controlador MVC ASP.NET, esteja atento aos ataques de falsificação de solicitação entre sites. Um ataque de falsificação de solicitação entre sites pode enviar solicitações maliciosas de um usuário autenticado para seu controlador MVC ASP.NET.
CA5350: Não use algoritmos criptográficos fracos	Algoritmos de encriptação fracos e funções de hashing são utilizados atualmente por uma série de razões, mas não devem ser utilizados para garantir a confidencialidade ou integridade dos dados que protegem. Esta regra é acionada quando encontra algoritmos TripleDES, SHA1 ou RIPEMD160 no código.
CA5351: Não use algoritmos criptográficos quebrados	Algoritmos criptográficos quebrados não são considerados seguros e seu uso deve ser fortemente desencorajado. Esta regra é acionada quando encontra o algoritmo de hash MD5 ou os algoritmos de encriptação DES ou RC2 no código.
CA5358: Não use modos de codificação não seguros	Não use modos de codificação não seguros
CA5359: Não desative a validação de certificado	Um certificado pode ajudar a autenticar a identidade do servidor. Os clientes devem validar o certificado do servidor para garantir que as solicitações sejam enviadas ao servidor pretendido. Se o ServerCertificateValidationCallback sempre retornar true, qualquer certificado passará pela validação.
CA5360: Não chame métodos perigosos na desserialização	A desserialização insegura é uma vulnerabilidade que ocorre quando dados não confiáveis são usados para abusar da lógica de um aplicativo, infligir um ataque de negação de serviço (DoS) ou até mesmo executar código arbitrário ao ser desserializado. É frequentemente possível que usuários mal-intencionados abusem desses recursos de desserialização quando o aplicativo está desserializando dados não confiáveis que estão sob seu controle. Especificamente, invoque métodos perigosos no processo de desserialização. Ataques bem-sucedidos de desserialização insegura podem permitir que um invasor execute ataques como ataques DoS, desvios de autenticação e execução remota de código.
CA5361: Não desative o uso SChannel de criptografia forte	Configuração Switch.System.Net.DontEnableSchUseStrongCrypto para true enfraquecer a criptografia usada em conexões TLS (Transport Layer Security) de saída. Uma criptografia mais fraca pode comprometer a confidencialidade da comunicação entre seu aplicativo e o servidor, tornando mais fácil para os invasores espionar dados confidenciais.
CA5362: Ciclo de referência potencial no gráfico de objeto desserializado	Se desserializar dados não confiáveis, qualquer código que processe o gráfico de objeto desserializado precisa lidar com ciclos de referência sem entrar em loops infinitos. Isso inclui o código que faz parte de um retorno de chamada de desserialização e o código que processa o gráfico de objeto após a conclusão da desserialização. Caso contrário, um invasor pode executar um ataque de negação de serviço com dados mal-intencionados contendo um ciclo de referência.
CA5363: Não desative a validação de solicitação	A validação de solicitação é um recurso do ASP.NET que examina solicitações HTTP e determina se elas contêm conteúdo potencialmente perigoso que pode levar a ataques de injeção, incluindo scripts entre sites.
CA5364: Não use protocolos de segurança preteridos	Transport Layer Security (TLS) protege a comunicação entre computadores, mais comumente com HTTPS (Hypertext Transfer Protocol Secure). As versões de protocolo mais antigas do TLS são menos seguras do que o TLS 1.2 e o TLS 1.3 e são mais propensas a ter novas vulnerabilidades. Evite versões de protocolo mais antigas para minimizar o risco.
CA5365: Não desative a verificação de cabeçalho HTTP	A verificação de cabeçalho HTTP permite a codificação do retorno de carro e dos caracteres de nova linha, \r e \n, encontrados nos cabeçalhos de resposta. Essa codificação pode ajudar a evitar ataques de injeção que exploram um aplicativo que ecoa dados não confiáveis contidos pelo cabeçalho.
CA5366: Usar XmlReader para DataSet Read XML	Usar um para ler XML com dados não confiáveis pode carregar referências externas perigosas, que devem ser restringidas usando um com um DataSetXmlReader resolvedor seguro ou com o processamento DTD desativado.
CA5367: Não serializar tipos com campos de ponteiro	Esta regra verifica se há uma classe serializável com um campo de ponteiro ou propriedade. Os membros que não podem ser serializados podem ser um ponteiro, como membros estáticos ou campos marcados com NonSerializedAttribute.
CA5368: Definir ViewStateUserKey para classes derivadas da página	Definir a propriedade pode ajudá-lo a evitar ataques ao seu aplicativo, permitindo que você atribua um identificador à variável de estado de exibição para usuários individuais para que os invasores não possam usar a ViewStateUserKey variável para gerar um ataque. Caso contrário, haverá vulnerabilidades à falsificação de pedidos entre sites.
CA5369: Usar XmlReader para desserializar	O processamento de esquemas DTD e XML não confiáveis pode permitir o carregamento de referências externas perigosas, que devem ser restritas usando um XmlReader com um resolvedor seguro ou com o processamento de esquema embutido DTD e XML desabilitado.
CA5370: Usar XmlReader para validar o leitor	O processamento de esquemas DTD e XML não confiáveis pode permitir o carregamento de referências externas perigosas. Esse carregamento perigoso pode ser restringido usando um XmlReader com um resolvedor seguro ou com o processamento de esquema embutido DTD e XML desativado.
CA5371: Usar XmlReader para leitura de esquema	O processamento de esquemas DTD e XML não confiáveis pode permitir o carregamento de referências externas perigosas. Usar um XmlReader com um resolvedor seguro ou com DTD e XML inline schema processing desabilitado restringe isso.
CA5372: Usar XmlReader para XPathDocument	O processamento de XML a partir de dados não confiáveis pode carregar referências externas perigosas, que podem ser restringidas usando um XmlReader com um resolvedor seguro ou com o processamento DTD desabilitado.
CA5373: Não use a função de derivação de chave obsoleta	Esta regra deteta a invocação de métodos System.Security.Cryptography.PasswordDeriveBytes de derivação de chave fraca e Rfc2898DeriveBytes.CryptDeriveKey. System.Security.Cryptography.PasswordDeriveBytes usou um algoritmo fraco PBKDF1.
CA5374: Não use XslTransform	Esta regra verifica se System.Xml.Xsl.XslTransform está instanciada no código. System.Xml.Xsl.XslTransform está agora obsoleta e não deve ser usada.
CA5375: Não use assinatura de acesso compartilhado de conta	Uma SAS de conta pode delegar acesso a operações de leitura, gravação e exclusão em contêineres de blob, tabelas, filas e compartilhamentos de arquivos que não são permitidos com uma SAS de serviço. No entanto, ele não oferece suporte a políticas no nível de contêiner e tem menos flexibilidade e controle sobre as permissões concedidas. Uma vez que os usuários mal-intencionados obtê-lo, sua conta de armazenamento será comprometida facilmente.
CA5376: Usar SharedAccessProtocol HttpsOnly	SAS são dados confidenciais que não podem ser transportados em texto simples em HTTP.
CA5377: Usar política de acesso em nível de contêiner	Uma política de acesso no nível do contêiner pode ser modificada ou revogada a qualquer momento. Ele fornece maior flexibilidade e controle sobre as permissões que são concedidas.
CA5378: Não desative ServicePointManagerSecurityProtocols	Configuração DisableUsingServicePointManagerSecurityProtocols para true limitar as conexões TLS (Transport Layer Security) do Windows Communication Framework (WCF) ao uso do TLS 1.0. Essa versão do TLS será preterida.
CA5379: Certifique-se de que o algoritmo da função de derivação de chave é suficientemente forte	O Rfc2898DeriveBytes padrão da classe é usar o SHA1 algoritmo. Você deve especificar o algoritmo de hash a ser usado em algumas sobrecargas do construtor com SHA256 ou superior. Observe que HashAlgorithm a propriedade só tem um acessador e não tem um getoverridden modificador.
CA5380: Não adicione certificados ao armazenamento raiz	Esta regra deteta o código que adiciona um certificado ao armazenamento de certificados das Autoridades de Certificação Raiz Confiáveis. Por padrão, o armazenamento de certificados de Autoridades de Certificação Raiz Confiáveis é configurado com um conjunto de CAs públicas que atendeu aos requisitos do Programa de Certificados Raiz da Microsoft.
CA5381: Verifique se os certificados não são adicionados ao armazenamento raiz	Esta regra deteta o código que potencialmente adiciona um certificado ao armazenamento de certificados das Autoridades de Certificação Raiz Confiáveis. Por padrão, o armazenamento de certificados de Autoridades de Certificação Raiz Confiáveis é configurado com um conjunto de autoridades de certificação (CAs) públicas que atenderam aos requisitos do Programa de Certificados Raiz da Microsoft.
CA5382: Use cookies seguros no ASP.NET Core	Os aplicativos disponíveis por HTTPS devem usar cookies seguros, que indicam ao navegador que o cookie só deve ser transmitido usando Transport Layer Security (TLS).
CA5383: Garantir o uso de cookies seguros no ASP.NET Core	Os aplicativos disponíveis por HTTPS devem usar cookies seguros, que indicam ao navegador que o cookie só deve ser transmitido usando Transport Layer Security (TLS).
CA5384: Não use algoritmo de assinatura digital (DSA)	DSA é um algoritmo de encriptação assimétrica fraca.
CA5385: Use o algoritmo Rivest–Shamir–Adleman (RSA) com tamanho de chave suficiente	Uma chave RSA menor que 2048 bits é mais vulnerável a ataques de força bruta.
CA5386: Evite codificar o valor SecurityProtocolType	Transport Layer Security (TLS) protege a comunicação entre computadores, mais comumente com HTTPS (Hypertext Transfer Protocol Secure). As versões de protocolo TLS 1.0 e TLS 1.1 foram preteridas, enquanto TLS 1.2 e TLS 1.3 são atuais. No futuro, o TLS 1.2 e o TLS 1.3 poderão ser preteridos. Para garantir que seu aplicativo permaneça seguro, evite codificar uma versão do protocolo e direcione pelo menos o .NET Framework v4.7.1.
CA5387: Não use a função de derivação de tecla fraca com contagem de iteração insuficiente	Esta regra verifica se uma chave criptográfica foi gerada por Rfc2898DeriveBytes com uma contagem de iteração inferior a 100.000. Uma contagem de iteração mais alta pode ajudar a mitigar ataques de dicionário que tentam adivinhar a chave criptográfica gerada.
CA5388: Garanta uma contagem de iteração suficiente ao usar a função de derivação de chave fraca	Esta regra verifica se uma chave criptográfica foi gerada por Rfc2898DeriveBytes uma contagem de iteração que pode ser inferior a 100.000. Uma contagem de iteração mais alta pode ajudar a mitigar ataques de dicionário que tentam adivinhar a chave criptográfica gerada.
CA5389: Não adicione o caminho do item de arquivo ao caminho do sistema de arquivos de destino	O caminho do arquivo pode ser relativo e pode levar ao acesso ao sistema de arquivos fora do caminho de destino esperado do sistema de arquivos, levando a alterações maliciosas de configuração e execução remota de código por meio da técnica lay-and-wait.
CA5390: Não codificar chave de criptografia	Para que um algoritmo simétrico seja bem-sucedido, a chave secreta deve ser conhecida apenas pelo emissor e pelo recetor. Quando uma chave é codificada, ela é facilmente descoberta. Mesmo com binários compilados, é fácil para usuários mal-intencionados extraí-lo. Uma vez que a chave privada é comprometida, o texto cifrado pode ser descriptografado diretamente e não é mais protegido.
CA5391: Use tokens antifalsificação em controladores MVC ASP.NET Core	Lidar com um , , PATCHPUTou DELETE solicitação sem validar um POSTtoken antifalsificação pode ser vulnerável a ataques de falsificação de solicitação entre sites. Um ataque de falsificação de solicitação entre sites pode enviar solicitações maliciosas de um usuário autenticado para seu controlador MVC ASP.NET Core.
CA5392: Usar o atributo DefaultDllImportSearchPaths para P/Invokes	Por padrão, P/Invoke funciona usando DllImportAttribute sondar vários diretórios, incluindo o diretório de trabalho atual para a biblioteca carregar. Isso pode ser um problema de segurança para determinados aplicativos, levando ao sequestro de DLL.
CA5393: Não use o valor DllImportSearchPath não seguro	Pode haver uma DLL mal-intencionada nos diretórios de pesquisa de DLL padrão e diretórios de assembly. Ou, dependendo de onde seu aplicativo é executado, pode haver uma DLL mal-intencionada no diretório do aplicativo.
CA5394: Não use aleatoriedade insegura	O uso de um gerador de números pseudoaleatórios criptograficamente fraco pode permitir que um invasor preveja qual valor sensível à segurança será gerado.
CA5395: Atributo Miss HttpVerb para métodos de ação	Todos os métodos de ação que criam, editam, excluem ou modificam dados precisam ser protegidos com o atributo antifalsificry contra ataques de falsificação de solicitação entre sites. Executar uma operação GET deve ser uma operação segura que não tenha efeitos colaterais e não modifique seus dados persistentes.
CA5396: Definir HttpOnly como true para HttpCookie	Como medida de defesa em profundidade, certifique-se de que os cookies HTTP sensíveis à segurança sejam marcados como HttpOnly. Isso indica que os navegadores da Web devem impedir que scripts acessem os cookies. Os scripts maliciosos injetados são uma forma comum de roubar cookies.
CA5397: Não use valores SslProtocols preteridos	Transport Layer Security (TLS) protege a comunicação entre computadores, mais comumente com HTTPS (Hypertext Transfer Protocol Secure). As versões de protocolo mais antigas do TLS são menos seguras do que o TLS 1.2 e o TLS 1.3 e são mais propensas a ter novas vulnerabilidades. Evite versões de protocolo mais antigas para minimizar o risco.
CA5398: Evite valores SslProtocols codificados	Transport Layer Security (TLS) protege a comunicação entre computadores, mais comumente com HTTPS (Hypertext Transfer Protocol Secure). As versões de protocolo TLS 1.0 e TLS 1.1 foram preteridas, enquanto TLS 1.2 e TLS 1.3 são atuais. No futuro, o TLS 1.2 e o TLS 1.3 poderão ser preteridos. Para garantir que seu aplicativo permaneça seguro, evite codificar uma versão do protocolo.
CA5399: Definitivamente desativar a verificação da lista de revogação de certificado HttpClient	Um certificado revogado não é mais confiável. Ele pode ser usado por invasores que passam alguns dados maliciosos ou roubam dados confidenciais na comunicação HTTPS.
CA5400: Verifique se a verificação da lista de revogação de certificados HttpClient não está desabilitada	Um certificado revogado não é mais confiável. Ele pode ser usado por invasores que passam alguns dados maliciosos ou roubam dados confidenciais na comunicação HTTPS.
CA5401: Não use CreateEncryptor com IV não padrão	A criptografia simétrica deve sempre usar um vetor de inicialização não repetível para evitar ataques de dicionário.
CA5402: Use CreateEncryptor com o IV padrão	A criptografia simétrica deve sempre usar um vetor de inicialização não repetível para evitar ataques de dicionário.
CA5403: Não codificar certificado	O data parâmetro ou de um X509Certificate construtor ou rawDataX509Certificate2 é codificado.
CA5404: Não desative as verificações de validação de token	TokenValidationParameters As propriedades que controlam a validação de token não devem ser definidas como false.
CA5405: Nem sempre ignore a validação de token em delegados	O retorno de chamada atribuído ou AudienceValidatorLifetimeValidator sempre retorna.true