Brevet FR3047594A1 — publié le 20170811

SURVEILLANCE DE L'AUTHENTICITE D'UN UTILISATEUR PORTÉE DE L'INVENTION L'invention relève du domaine de la surveillance de l'authenticité d'un utilisateur pendant les activités de l'utilisateur sur au moins un serveur d'application. CONTEXTE WO 2 006 118 968 A2 décrit une méthode permettant aux fournisseurs de services d'identifier de 10 possibles transactions frauduleuses, sur la base de l'analyse historique des données de l'utilisateur et du dispositif avec un ensemble de règles prédéterminées. L'analyse de données de l'utilisateur comprend l'analyse des modes d'activité par comparaison avec des règles prédéfinies. Un moteur d'évaluation de risque avec un modèle de pondération basé sur des règles détermine si le mode d'activité est frauduleux ou non. 15 US 2013/0104203 Al décrit une méthode pour déterminer un niveau d'authentification associé à un utilisateur, sur la base d'une empreinte comportementale. RÉSUMÉ DE L'INVENTION 20 Selon un premier aspect, une méthode de surveillance relative à l'authenticité d'un utilisateur, pendant les activités de l'utilisateur lors des sessions de l'utilisateur sur au moins un serveur d'application, est procurée. La méthode est mise en oeuvre par un ou plusieurs processeurs exécutant des instructions stockées sur une mémoire non volatile, les instructions, lorsqu'elles sont exécutées amènent le processeur à : 25 effectuer un processus de modélisation de l'utilisateur dans lequel un modèle d'utilisateur existant est adapté aux activités de l'utilisateur, session par session. Le modèle d'utilisateur comprend une pluralité de modèles adaptatifs d'activité de l'utilisateur, spécifiques à un élément, lesdits modèles d'activité, liés à un élément spécifique, étant associés à des éléments indicatifs de l'activité de l'utilisateur. 30 effectuer un processus de vérification de l'utilisateur, comprenant : la détermination d'une pluralité de valeurs d'évaluation de risque lié à un élément spécifique, où la détermination d'une valeur d'évaluation de risque lié à un élément spécifique de la pluralité de valeurs d'évaluation de risque lié à un élément spécifique comprend la comparaison d'au moins un modèle adaptatif d'activité, lié à un élément 35 spécifique de l'utilisateur, avec un élément respectif extrait d'au moins une activité de l'utilisateur lors d'une de l'utilisateur sur le serveur d'application. 3047594 la détermination d'une valeur totale d'évaluation de risque indicative de l'authenticité de l'utilisateur, où la détermination d'une valeur totale d'évaluation de risque comprend a) la pondération et la combinaison de la pluralité de valeurs d'évaluation de risque lié à un élément spécifique, ou b) la pondération et la combinaison de valeurs d'évaluation de risque précombinées, déterminées par la combinaison d'une portion de la pluralité de valeurs d'évaluation de risque lié à un élément spécifique en utilisant l'analyse de décision à critères multiples (MCDA) ; lorsque la valeur totale d'évaluation de risque dépasse un seuil donné, la mise en oeuvre 10 d'une action corrective, comprenant au moins l'une des actions correctives suivantes : (i) la fermeture de session de l'utilisateur, (ii) une demande d'authentification basée sur deux critères de la part de l'utilisateur (iii) une demande de double authentification basée sur deux critères et (iv) le déclenchement d'une fonction d'alerte. 15 Selon un second aspect, un système de serveur est procuré, comprenant au moins un processeur et au moins une mémoire non volatile comprenant au moins un programme informatique contenant des instructions exécutables pour surveiller l'authenticité de l'utilisateur pendant les activités de l'utilisateur lors des sessions de l'utilisateur sur au moins un serveur d'application. Les instructions exécutables, lorsqu'elles sont exécutées par au moins un processeur, amènent au moins ledit processeur à : 20 effectuer un processus de modélisation de l'utilisateur dans lequel un modèle d'utilisateur existant est adapté aux activités de l'utilisateur session par session, le modèle d'utilisateur comprenant une pluralité de modèles adaptatifs d'activité d'utilisateur, liés à un élément spécifique, les modèles d'activité d'utilisateur, liés à un élément spécifique, étant associés à des éléments indicatifs de l'activité de l'utilisateur, 25 effectuer un processus de vérification de l'utilisateur comprenant : la détermination d'une pluralité de valeurs d'évaluation de risque élément spécifique, où la détermination de valeurs d'évaluation de risque lié à un élément spécifique comprend la comparaison d'au moins un modèle adaptatif d'activité d'utilisateur, lié à un élément spécifique, avec un élément respectif, extrait d'au moins une activité de l'utilisateur lors 30 d'une session de l'utilisateur sur le serveur d'application, associée avec au moins ledit élément, la détermination d'une valeur totale d'évaluation de risque indicative de l'authenticité de l'utilisateur, où la détermination d'une valeur totale d'évaluation de risque comprend a) la pondération et la combinaison de la pluralité de valeurs d'évaluation de risque 35 élément spécifique, ou b) la pondération et la combinaison des valeurs précombinées d'évaluation de risque, déterminées par la combinaison d'une portion de la pluralité de valeurs d'évaluation 3047594 3 de risque lié à un élément spécifique en utilisant l'analyse de décision à critères multiples (MCDA), lorsque la valeur totale d'évaluation de risque dépasse un seuil donné, la mise en oeuvre d'une action corrective, çomprenant au moins l'une des actions correctives suivantes (i) la fermeture de session de l'utilisateur (ii) une demande d'authentification basée sur deux critères de la part de l'utilisateur (iii) le verrouillage de l'utilisateur, et (iv) le déclenchement d'une fonction d'alerte. Selon un troisième aspect, une méthode pour surveiller l'authenticité d'un utilisateur, pendant les activités de l'utilisateur lors de sessions de l'utilisateur sur au moins un serveur d'application, la méthode étant effectuée de façon distribuée à l'aide d'un système de serveur distribué, le système de serveur distribué comprenant au moins ledit serveur d'application et au moins un serveur de modèles d'utilisateur. Les serveurs d'application et de modèles d'utilisateur comprenant au moins un processeur étau moins une mémoire non volatile comprenant au moins un programme informatique contenant des instructions exécutables. La méthode étant effectuée par les processeurs exécutant les instructions, dans laquelle, les instructions amènent les processeurs à : effectuer un processus de modélisation de l'utilisateur dans lequel un modèle d'utilisateur existant est adapté aux activités de l'utilisateur session par session, effectuer un processus de vérification de l'utilisateur comprenant : la comparaison du modèle de l'utilisateur avec des éléments extraits de l'activité de la session de l'utilisateur lors de la session de l'utilisateur sur le serveur d'application, la détermination d'une valeur totale de l'évaluation du risque sur la base de la comparaison, lorsque la valeur totale d'évaluation de risque dépasse un seuil donné, la mise en oeuvre d'une action corrective, comprenant au moins l'une des actions correctives suivantes : (i) le verrouillage de l'utilisateur (ii) une demande d'une authentification basée sur deux critères (iii) le verrouillage de l'utilisateur, et (iv) le déclenchement d'une fonction d'alerte ; le transfert des données relatives à l'activité de l'utilisateur à partir d'au moins un serveur d'application sur au moins un serveur de modèles d'utilisateur ; le transfert des données adaptées d'un modèle d'utilisateur à partir d'au moins ledit serveur de modèles d'utilisateur sur au moins un serveur d'application ; le processus de modélisation d'utilisateur étant effectué sur au moins un serveur de modèles d'utilisateur, dans lequel le modèle d'utilisateur est adapté en fonction des données relatives à l'activité de l'utilisateur transférées à partir d'au moins un serveur d'application ; et 3047594 4 le processus de vérification d'utilisateur est effectué sur au moins ledit serveur d'application, dans lequel le processus de vérification de l'utilisateur est effectué en utilisant les données adaptées du modèle d'utilisateur transférées à partir du serveur de modèles d'utilisateur. 5 DESCRIPTION GÉNÉRALE, ET MODES OPTIONNELS DE RÉALISATION Selon un premier aspect, une méthode de surveillance de l'authenticité d'un utilisateur pendant l'activité de l'utilisateur lors des sessions de l'utilisateur sur au moins un serveur d'application est procurée. La surveillance de l'authenticité d'un utilisateur lors de sessions -d'utilisateur consiste à vérifier si l'utilisateur enregistré sur le serveur d'application et utilisant les applications en cours sur celui-ci est 10 vraiment l'utilisateur qu'il, ou elle, prétend être. Une session d'utilisateur est l'ensemble d'actions consécutives faites par un utilisateur donné après s'être authentifié dans l'application en utilisant ses justificatifs d'identité (c'est-à-dire, en s'identifiant), jusqu'à ce que l'utilisateur ferme sa session à l'aide d'une fonctionnalité de désauthentification fournie par l'application. La méthode est effectuée par un ou plusieurs processeurs qui exécutent des instructions stockées sur une mémoire non volatile. Le ou 15 plusieurs processeurs sont par exemple, les processeurs d'un serveur d'application et ceux d'autres serveurs utilisés pour mettre en oeuvre la méthode. Les instructions sont typiquement données par un programme codé exécutable, la mémoire non volatile est par exemple, une mémoire morte (ROM), une mémoire programmable à lecture effaçable électriquement (EEPROM) ou une mémoire flash. 20 Les instructions, lorsqu'elles sont exécutées par le processeur (s), amènent le processeur (s) à effectuer un processus de modélisation de l'utilisateur dans lequel un modèle d'utilisateur existant est adapté session par session aux activités de l'utilisateur. Les termes « processus » par rapport au processus de modélisation d'utilisateur mentionné ci-dessus et « processus de vérification d'utilisateur » renvoient à des sous-méthodes de la méthode de surveillance de l'authenticité d'un utilisateur, pendant les activités 25 de l'utilisateur lors des sessions de l'utilisateur, comprenant une pluralité de tâches mises en oeuvre par le processeur (s) plutôt que de simples tâches mises en oeuvre par le processeur (s). Le modèle d'utilisateur est par exemple, un modèle mathématique, particulièrement un modèle qui mappe l'activité de l'utilisateur à une probabilité d'une certaine activité de l'utilisateur ou à des valeurs 30 représentant cette probabilité. Cette probabilité peut être utilisée par exemple, pour vérifier l'authenticité de l'utilisateur. Le mappage peut par exemple, être réalisé en formant des distributions à partir des activités de l'utilisateur représentant l'activité de l'utilisateur et en calculant les déviations standard de ces distributions ou autres. 35 Le modèle d'utilisateur n'est pas seulement limité à certaines caractéristiques d'activité de l'utilisateur, tel que le temps d'accès à une application de réservation sur le serveur d'application ou l'origine géographique de cet accès, par exemple la France ou la Chine, mais tient plutôt compte d'une pluralité 3047594 de ces caractéristiques. Par exemple, le modèle d'utilisateur prend également en compte, le type de navigateur internet utilisé pour l'accès et le type de système d'exploitation ou de dispositif client, pour ne nommer que quelques exemples. De cette façon, le modèle d'utilisateur reflète une pluralité de caractéristiques d'activité qui peuvent être analysées et mappées à un tel modèle grâce à la méthode décrite dans les présentes. Le modèle d'utilisateur existant qui est adapté peut être basé par exemple, sur un modèle d'utilisateur qui a été déterminé pendant une phase de formation sur une durée exemplaire de trois mois ou sur un modèle d'utilisateur qui a été prédéfini par un administrateur sur la base de données relatives à l'activité 10 de l'utilisateur. L'adaptation du modèle d'utilisateur existant est accomplie session par session. De cette façon, l'adaptation du modèle de l'utilisateur peut soit être accomplie en temps réel, par exemple pendant la session de l'utilisateur, soit au début ou à la fin de la session. Le modèle d'utilisateur comprend une pluralité de modèles adaptatifs d'activité, liés à un élément 15 spécifique. Un modèle d'activité d'utilisateur, lié à un élément spécifique, est associé à un élément indicatif de l'activité de l'utilisateur. Ces modèles adaptatifs d'activité d'utilisateur, liés à un élément spécifique, peuvent être considérés comme des sous-modèles du modèle d'utilisateur. Par exemple, un modèle adaptatif d'activité d'utilisateur, lié à un élément spécifique, est spécifique à la durée des sessions pendant que l'utilisateur est connecté par exemple à une application ; un autre modèle adaptatif 20 d'activité d'utilisateur, lié à un élément spécifique, est par exemple spécifique à la séquence d'actions effectuées par l'utilisateur, car un utilisateur particuliellieut avoir l'habitude d'oublier son mot de passe pour l'application, cependant rentre le bon nom d'utilisateur. Si par exemple, cet utilisateur entre soudain un nom d'utilisateur erroné à plusieurs reprises, cette activité pourrait être suspect. Un autre modèle adaptatif d'activité d'utilisateur, lié à un élément spécifique, est par exemple spécifique au 25 logiciel et au type des machines utilisées par le client. Par exemple, lorsqu'un utilisateur n'a pas l'habitude d'utiliser une application à partir d'un iPhone(14 ou tout autre produit Apple®, par exemple, mais que cette activité est soudainement détectée, cela pourrait indiquer une fraude, car un individu pourrait seulement prétendre être le propriétaire d'un certain profil d'utilisateur. 30 Quel que soit le cas, les modèles adaptatifs d'activité d'utilisateur, liés à un élément spécifique, sont (i) centrés client, (ii) adaptatifs, et (iii) extensibles avec la capacité de prendre en compte une nouvelle activité d'utilisateur puisque l'activité de l'utilisateur pourrait aussi changer de temps en temps. Par exemple, les modèles adaptatifs d'activité d'utilisateur, liés à un élément spécifique, sont déterminés 35 sur la base des données spécifiques à l'utilisateur, reçues du log d'une application qui contient les traces complètes des activités de l'utilisateur. Cela peut être fait régulièrement lorsque l'utilisateur a terminé une session, c'est-à-dire a posteriori, ou par diffusion en temps réel. Par exemple, les données sont 3047594 transmises à partir des applications sur un serveur de modèles d'utilisateur ou à tout autre moment lorsque la construction de modèles adaptatifs d'activité d'utilisateur est effectuée. Par exemple, dans le but d'interroger les données enregistrées, un daemon est actif sur le noeud de réseau entre le serveur de modèles d'utilisateur et le serveur d'application pour interroger en permanence les données du log, 5 toutes les 5 à 60 minutes ou à la fin d'une session d'utilisateur. La transmission de données au serveur de modèles d'utilisateur est accomplie par exemple, par le protocole simple d'administration de réseau (SNMP) au niveau du réseau et au niveau de l'application avec des interfaces C++. Les activités de l'utilisateur peuvent être reconstruites à partir des données du log mentionné ci-dessus. Ces activités d'utilisateur reconstruites sont analysées par au moins un algorithme d'exploration de données pour 10 extraire les éléments pour les différents modèles adaptatifs d'activité d'utilisateur, liés à un élément spécifique. Des exemples de ces algorithmes d'exploration de données sont dissimulés dans les modèles de Markov : les machines à vecteurs de support ou les réseaux neuronaux. Le modèle adaptatif d'activité, lié à un élément spécifique, est choisi de telle sorte qu'il est pertinent de 15 refléter les éléments qui lui sont associés. Par exemple, un modèle de chaîne de Markov est plus approprié pour modéliser une séquence d'actions qu'un modèle de mélange Gaussien alors que ce dernier est plutôt approprié pour modéliser la distribution des durées de sessions ou des heures de connexion. Par ailleurs, l'origine des requêtes entrées dans une application sur le serveur, ou le type de navigateur internet, ou le type d'ordinateur client utilisé, est par exemple, modélisée par des techniques 20 basées sur la fréquence de modèles. De telles techniques basées sur la fréquence de modèles identifient par exemple, des sous-séquences dans l'activité des utilisateurs en rapport avec les ordinateurs clients ou les origines des requêtes et comptent le nombre de sous-séquences rares dans une séquence de longue durée. Par ailleurs, les séquences d'actions de l'utilisateur dans une application, par exemple, lors de la réservation d'un vol, peuvent être analysées avec des techniques basées sur la similarité qui calculent 25 une distance d'un vecteur d'élément représentant une séquence d'actions à un centroïde de vecteurs de caractéristiques précédemment enregistrés, obtenus à partir de séquences d'actions passées, par exemple lors de la réservation d'un vol. Une telle technique sert par exemple, de modèle adaptatif d'activité d'utilisateur, lié à un élément spécifique, associé à la séquence d'actions d'un utilisateur lorsqu'il utilise une application particulière. Ces modèles peuvent être adaptés en recalculant, par exemple les modèles 30 tout en tenant compte des nouvelles valeurs d'éléments, chaque fois que les nouvelles données d'activité de l'utilisateur sont transmises à un module de calcul de modèle adaptatif d'activité d'utilisateur, lié à un élément spécifique. Par ailleurs, il n'y a pas qu'une seule méthode qui peut être appliquée pour créer un modèle d'activité 35 d'utilisateur, lié à un élément spécifique, mais plutôt des modèles différents d'activité d'utilisateur, liés à un élément spécifique, relatifs au même élément, par exemple, une séquence d'actions peut être obtenue en analysant les mêmes valeurs d'élément grâce à des méthodes d'analyse différentes. Pour 3047594 donner un exemple, une séquence d'actions peut être mappée à un modèle d'activité d'utilisateur, lié à un élément spécifique, réalisé sous la forme d'un modèle de chaîne de Markov ou d'un modèle basé sur la similarité, dans lequel les actions sont combinées à un vecteur d'éléments et un centroïde d'une pluralité de tels vecteurs d'éléments est calculé. 5 Par ailleurs, les instructions amènent le processeur à effectuer un processus de vérification d'utilisateur. Le processus de vérification d'utilisateur comprend la détermination d'une pluralité de valeurs d'évaluation de risque lié à un élément spécifique. Une valeur d'évaluation de risque lié à un élément spécifique est une valeur qui quantifie le risque que certaines valeurs d'éléments soient frauduleuses, 10 c'est-à-dire les valeurs qui indiquent que l'utilisateur n'est pas réellement l'utilisateur qu'il prétend être. Il y a par exemple, une valeur d'évaluation de risque lié à un élément spécifique associée aux heures de connexion de l'utilisateur et une autre valeur de risque associé à la durée de la session ou à l'origine de la requête. 15 La détermination d'une valeur d'évaluation de risque lié à un élément spécifique de la pluralité de valeurs d'évaluation de risque lié à un élément spécifique comprend la comparaison d'au moins un modèle adaptatif d'activité d'utilisateur, lié à un élément spécifique, avec un élément respectif extrait d'au moins une activité de l'utilisateur dans une session d'utilisateur sur le serveur d'application. Par exemple, la durée d'une session en cours ou la valeur moyenne de la durée des dix dernières sessions 20 (la durée de la session étant l'élément en question) est comparée avec le modèle adaptatif d'activité d'utilisateur, lié à un élément spécifique, associé avec l'élément de durée de session. La déviation entre : (i) la moyenne mobile d'une pluralité de durées de session et (ii) la durée acquise de la session en cours, par exemple, le temps actuel qui s'est écoulé depuis l'ouverture de session de l'utilisateur, sert de valeur d'évaluation de risque pour l'élément de « durée de session ». 25 Pour donner un autre exemple, lorsque la séquence d'actions est l'élément en question, une séquence actuelle des actions effectuées par l'utilisateur, telles qu'une première connexion, la navigation entre dix options de vols et d'hôtels différents, le choix d'un hôtel cinq étoiles avec piscine et service tout-inclus, puis le choix de la location d'une petite citadine et la fermeture de session, sont comparés avec 30 le modèle adaptatif d'activité d'utilisateur, lié à un élément spécifique, associé avec l'élément de séquence d'actions. Cette comparaison est accomplie par exemple, en calculant la distance du vecteur d'éléments construit par la séquence actuelle d'actions décrites ci-dessus à un centroïde de petits groupes de séquences antérieures. Cette distance peut par exemple, servir d'évaluation de risque spécifique à l'élément de « séquence d'actions ». 35 Lors de l'exécution du processus de vérification d'utilisateur, les instructions amènent le processeur à déterminer une valeur totale d'évaluation de risque indicative de la non-authenticité de l'utilisateur. La 3047594 8 détermination de la valeur totale d'évaluation de risque comprend : a) la pondération et la combinaison de la pluralité de valeurs d'évaluation de risque lié à un élément spécifique, ou b) la pondération et la combinaison de la valeur précombinée d'évaluation de risque. Les valeurs précombinées d'évaluation de risque sont déterminées par la combinaison d'une portion de la pluralité de valeurs d'évaluation de risque lié à un élément spécifique en se fiant à l'analyse de décision à critères multiples (MCDA). Chaque valeur d'évaluation de risque, en elle-même, n'est indicative de la non-authenticité de l'utilisateur qu'en fonction d'un élément particulier. Cependant, une seule activité en particulier qui influence un seul élément pourrait être modifié par un utilisateur de temps à autre. Par exemple, si un 10 individu utilise Google-Chrome® comme navigateur au lieu de Microsoft Internet Explorer® pendant un certain temps, ce fait pris à part est peu indicatif d'une activité frauduleuse. Une combinaison d'une pluralité de valeurs d'évaluation de risque lié à un élément spécifique formant une valeur totale d'évaluation de risque est donc une mesure de risque relative à l'authenticité de l'utilisateur mieux applicable. 15 Les valeurs individuelles d'évaluation de risque lié à un élément spécifique peuvent être directement combinées à une valeur totale d'évaluation de risque, c'est-à-dire par la somme des valeurs individuelles pondérées d'évaluation de risque lié à un élément spécifique. Alternativement, des valeurs d'évaluation de risque lié à un élément spécifique qui appartiennent à la même classe d'éléments, tels que les éléments 20 relatifs à l'information sur le client, peuvent être précombinées à une valeur d'évaluation de risque précombinée. Cette valeur précombinée d'évaluation de risque est construite par exemple, en combinant des valeurs d'évaluation de risque élément spécifique, relatives à des éléments contenus dans la classe d'éléments d'information client. De cette façon, par exemple, les valeurs d'évaluation de risque lié à un élément spécifique associées au navigateur internet utilisé peuvent être combinées avec la valeur 25 d'évaluation de risque lié à un élément spécifique associée avec le système d'exploitation utilisé ou le type d'ordinateur pour obtenir une valeur précombinée d'évaluation de risque lié à un élément spécifique associée à l'information sur le client. Étant donné que tous les éléments ne vont pas jouer le même rôle lorsqu'il est question de protection 30 contre la fraude, à savoir que des modèles d'activité d'un utilisateur pourraient fluctuer plus que d'autres, par exemple, il est plus probable pour un élément particulier de changer que pour un autre, toutes les valeurs d'évaluation de risque lié à un élément spécifique ou de valeurs précombinées d'évaluation de risque lié à un élément spécifique n'auront pas le même poids. La pondération des valeurs d'évaluation de risque lié à un élément spécifique ou des valeurs 35 précombinées d'évaluation de risque lié à un élément spécifique et le type de combinaison utilisée pour obtenir ces valeurs, par exemple la logique floue, l'importance relative, la moyenne pondérée, la moyenne ordonnée pondérée, sont choisis par exemple, par un administrateur tel que l'expert en matière 3047594 9 de fraude. Lorsque la valeur totale d'évaluation de risque dépasse un seuil donné, une action corrective est mise en oeuvre, comprenant au moins l'une des actions correctives suivantes : la fermeture de session de l'utilisateur, (ii) la demande d'une authentification basée sur deux critères (iii) le verrouillage de l'utilisateur, et (iv) le déclenchement d'une fonction d'alerte. L'action corrective peut aussi consister à émettre une alerte ou une alarme. La valeur totale d'évaluation de risque élément spécifique, décrite ci-dessus, est l'indicateur global de 10 l'authenticité de l'utilisateur. Cette valeur reflète en quelque sorte une déviation des activités de l'utilisateur lors d'une session de l'utilisateur par rapport au profil global de l'utilisateur. De cette façon, une valeur totale d'évaluation de risque lié à un élément spécifique qui est excessive est une forte indication de l'authenticité douteuse de l'utilisateur. Le seuil est fixé par exemple par un administrateur. Ce seuil peut aussi être choisi de manière spécifique à l'utilisateur, car il y a des utilisateurs qui ont 15 tendance à changer leurs habitudes plus souvent que d'autres, notamment pour une réservation de vol. En réponse au dépassement du seuil donné, une action corrective est déclenchée. Cette action corrective est l'une des actions suivantes : (i) la fermeture de la session de l'utilisateur (ii) une demande d'une authentification basée sur deux critères (iii) le verrouillage de l'utilisateur, et (iv) le déclenchement 20 d'une fonction d'alerte. La fermeture de session de l'utilisateur consiste par exemple, à déconnecter l'utilisateur de la session d'utilisateur en cours. La demande d'authentification basée sur deux critères de l'utilisateur consiste par exemple à demander à l'utilisateur de répondre à une question de sécurité prédéfinie et à fermer la session de l'utilisateur lorsque la réponse à la question de sécurité est erronée. La question de sécurité pourrait être un soi-disant « captcha », ou une question présélectionnée couplée 25 à une réponse préenregistrée de l'utilisateur réel, telle que le nom de la première petite amie/petit ami, le lieu de naissance, le nom de jeune fille de la mère, etc. Le verrouillage de l'utilisateur consiste par exemple à supprimer un profil d'utilisateur et/ou à refuser l'accès au serveur d'application de façon permanente à un utilisateur. Déclencher une fonction d'alerte consiste par exemple, à émettre une alerte à un opérateur humain pour qu'il ou elle puisse évaluer la situation et prendre les mesures nécessaires. 30 Le type d'action corrective déclenchée dépend par exemple du seuil réel qui a été dépassé. Pour déclencher des actions correctives de trois types différents il y a par exemple, trois seuils différents. Lorsque la valeur totale d'évaluation de risque est plus élevée que le second seuil par exemple, une demande d'authentification basée sur deux critères est émise. Lorsque la valeur totale d'évaluation de 35 risque est plus élevée que le second seuil, l'utilisateur est déconnecté de la session. Si toutefois, la valeur totale d'évaluation de risque est plus élevée que le troisième seuil, l'utilisateur est verrouillé. 3047594 10 La méthode de surveillance de l'authenticité d'un utilisateur pendant les activités de l'utilisateur lors d'une session de l'utilisateur sur au moins un serveur d'application combine deux processus complémentaires. Le premier processus est un processus de modélisation de l'utilisateur et le second processus est un processus de vérification de l'utilisateur. Un élément clé du processus de modélisation 5 de l'utilisateur est le modèle d'utilisateur qui comprend une pluralité de modèles adaptatifs d'activité d'utilisateur, liés à un élément spécifique. Ces modèles d'activité d'utilisateur, liés à un élément spécifique, et donc également le modèle d'activité d'utilisateur supérieur, sont adaptés aux activités de l'utilisateur, session par session. De cette façon, le processus utilisateur modélisation est quasi continuellement adapté au changement d'activité de l'utilisateur. Les modèles d'activité d'utilisateur, 10 liés à un élément spécifique, sont exploités par un second processus, le processus de vérification de l'utilisateur. Le processus de vérification d'utilisateur est utilisé pour obtenir une valeur totale d'évaluation de risque indicatif de la non-authenticité de l'utilisateur sur la base du modèle quasi continuellement adapté de l'utilisateur. La combinaison de ces deux mesures permet une évaluation dynamique de l'authenticité de l'utilisateur qui est aussi adaptative aux changements d'activité de 15 l'utilisateur dans la vie quotidienne et ne déclenche donc pas d'action corrective juste en fonction des changements d'activité de l'utilisateur dans la vie quotidienne. Jusqu'à présent, il a été supposé que le compte d'une personne A est utilisé de façon frauduleuse par une personne B et que les systèmes et méthodes décrits dans les présentes détectent ce type d'usurpation 20 d'identité. Cependant, les systèmes et les méthodes décrits peuvent également détecter les activités frauduleuses en général, par exemple lorsque le compte de la personne A est (légitimement) utilisé par la personne A, mais d'une façon frauduleuse. Dans certains modes de réalisation, le modèle d'utilisateur est adapté sur un serveur de modèles 25 d'utilisateur sur la base de l'activité de l'utilisateur associée avec différentes applications sur le serveur d'application. Le serveur de modèles d'utilisateur est un serveur qui est connecté au serveur d'application par l'intermédiaire d'un noeud de réseau et qui est physiquement séparé du serveur d'application. De cette 30 façon, la puissance de calcul nécessaire pour adapter le modèle d'utilisateur préexistant aux activités actuelles de l'utilisateur est externalisée, c'est-à-dire qu'elle est transférée du serveur d'application au serveur de modèles d'utilisateur. Le serveur d'application délivre des données d'activité de l'utilisateur, telles que les données de log à partir des applications, au serveur de modèles d'utilisateur. Sur la base de ces données, le modèle d'utilisateur est adapté aux nouvelles activités acquises de l'utilisateur. 35 3047594 11 Les données d'activité de l'utilisateur qui sont utilisées pour déterminer le modèle d'utilisateur sont par exemple spécifiques à une application, c'est à dire elles sont par exemple associées avec différentes applications sur le serveur d'application. 5 Dans certains modes de réalisation, le modèle d'utilisateur comprend des modèles adaptatifs d'activité d'utilisateur, liés à un élément spécifique, pour des applications différentes. Par exemple, un modèle adaptatif d'activité d'utilisateur, lié à un élément spécifique, qui est présent est spécifique aux applications pour les réservations de vol alors qu'il y a un autre modèle adaptatif d'activité d'utilisateur, lié à un élément spécifique, pour les applications de location de véhicule, ou autres. Une telle 10 implémentation est choisie, car un seul et même utilisateur pourrait générer des durées de session différentes, les habitudes d'heures de connexion pour différentes applications et le modèle d'activité d'utilisateur, lié à un élément spécifique, associé avec ces éléments sont donc différents pour ces différentes applications. Par conséquent, le modèle del'utilisateur est constitué par exemple des modèles adaptatifs différents de modèles d'activité d'utilisateur, liés à un élément spécifique, centrés sur 15 l'utilisateur et spécifiques à une application. À leur tour, les valeurs d'évaluation de risque lié à un élément spécifique qui sont dérivées de ces modèles sont spécifiques à l'application dans ces exemples. Dans certains modes de réalisation, le modèle d'utilisateur est répliqué à partir du serveur de modèles d'utilisateur, dans lesquels, la valeur totale d'évaluation de risque est déterminée sur le serveur 20 d'application en utilisant le modèle d'utilisateur répliqué. Par exemple, une version actuelle du modèle d'utilisateur est répliquée sur le serveur d'application au début d'une session de l'utilisateur ou de façon régulière, par exemple tous les jours à minuit. Cette réplication peut se faire en copiant la version adaptée du modèle d'utilisateur à partir du serveur de 25 modèles d'utilisateur sur le serveur d'application dans son ensemble ou en copiant seulement le delta entre le modèle d'utilisateur adapté et la version non adaptée du modèle d'utilisateur. La valeur totale d'évaluation de risque est déterminée sur la base du modèle d'utilisateur, comme décrit ci-dessus. Les modèles adaptatifs d'activité, lies à un élément spécifique, du côté serveur d'application sont par exemple, directement comparés avec les activités en cours de l'utilisateur, enregistrées dans un log 30 connecté à l'application (s) et transformé en une valeur totale d'évaluation de risque par les techniques mentionnées ci-dessus appliquées par un moteur d'évaluation de risque en cours d'exécution sur le serveur d'application. Lorsque le moteur d'évaluation de risque détermine une valeur totale d'évaluation de risque qui est supérieure à un ou plusieurs seuils donnés, une action corrective correspondante, comme une authentification basée sur deux critères, est déclenchée telle que décrite ci-dessus. Le ou 35 plusieurs seuils donnés sont stockés, par exemple, dans une antémémoire de règles sur le serveur d'application et sont lus à partir de là, par le moteur d'évaluation de risque qui effectue la comparaison. 3047594 12 L'action corrective est effectuée, par exemple, par un contrôle d'accès sur le serveur d'application. Le contrôle d'accès et donc connecté par exemple au moteur d'évaluation de risque afin de déclencher une telle action corrective prédéfinie chaque fois que la valeur totale d'évaluation de risque dépasse un seuil donné. 5 Cependant, l'action corrective peut aussi être déclenchée par le contrôle d'accès et être ensuite mise en oeuvre, par exemple sur un serveur de connexion et de sécurité. Dans certains modes de réalisation, la pluralité des éléments extraits à partir de l'activité dans les 10 sessions de l'utilisateur comprend au moins une des origines de l'activité de l'utilisateur, des horodatages des activités, les durées de session pendant lesquelles les activités sont effectuées et au moins une information relative au client, au bureau, et à l'entreprise. Comme cela a été mentionné dans les exemples ci-dessus, les origines de l'activité de l'utilisateur, 15 l'horodatage de l'activité et les durées de session sont des éléments possibles pour la modélisation par des modèles adaptatifs d'activité d'utilisateur, liés à un élément spécifique. L'origine de l'activité de l'utilisateur concerne le pays ou la région à partir duquel la requête au serveur d'activité a été émise au serveur d'application. L'information concernant l'origine de la requête peut 20 être extraite, par exemple, d'un enregistrement whois de l'adresse IP de la requête, c'est-à-dire une requête HTTP. L'enregistrement whois contient l'information relative au fournisseur de services internet (FSI). L'origine de la requête peut être déduite à partir de la distribution régionale d'un FSI. L'origine peut être déterminée encore plus précisément que par l'analyse de la distribution régionale du FSI, si l'information relative à un fournisseur de service internet particulier concernant les adresses IP 25 qui sont routées et les routeurs qui les acheminent est disponible. Par exemple, l'origine de la requête d'un utilisateur est habituellement l'Allemagne et plus spécifiquement entre Munich et Stuttgart, cependant elle est aussi parfois située entre Sachsen et la partie supérieure de l'Autriche. Ces données sont utilisées pour créer des modèles adaptatifs d'activité d'utilisateur, liés à un élément spécifique, associé avec les origines des requêtes. Une distance entre le centroïde pondéré de la région d'où les 30 requêtes sont habituellement émises et l'origine de la requête actuelle pourrait être utilisée comme valeur d'évaluation de risque lié à un élément spécifique, spécifiquement pour l'origine de la requête. Si l'utilisateur décrit ci-dessus ouvre une session sur le serveur d'application à partir de la Biélorussie, la valeur d'évaluation de risque spécifique est élevée et donc indicative d'une activité frauduleuse en cours. 35 L'origine de l'activité de l'utilisateur peut aussi concerner les adresses IP des requêtes d'utilisateur elles- mêmes. Un modèle d'activité, lié à un élément spécifique, de ces adresses IP peut aussi être déterminé par exemple, en collectant toutes les adresses IP à partir desquelles les requêtes d'utilisateur sont reçues, 3047594 13 et en attribuant une probabilité spécifique à chaque adresse IP. Une distance dans l'espace IP peut être calculée entre l'adresse IP de la requête présente et toutes autres adresses IP à partir desquelles les requêtes sont généralement émises en tenant compte par exemple de la proximité de deux adresses différentes dans l'espace IP en comparant les sous-réseaux auxquels elles appartiennent. Une moyenne pondérée de toutes les distances basées sur HP peut être calculée pour refléter la proximité moyenne de la présente adresse IP de l'utilisateur par rapport à toutes les autres adresses IP à partir desquelles l'utilisateur a envoyé des requêtes, de sorte que les distances ci-dessus peuvent être pondérées en fonction de la fréquence relative d'occurrence de chaque adresse IP. 10 Les horodatages des requêtes de l'utilisateur lors de l'utilisation d'une application peuvent aussi être utilisés par exemple comme élément modélisé par un modèle adaptatif d'activité, lié à un élément spécifique, associé avec ces horodatages. Par exemple, les horodatages de demande de connexion, une requête pour une connexion à une application, une requête pour finaliser une réservation, etc. sont utilisés pour un tel modèle d'activité d'utilisateur, lié à un élément spécifique. 15 Des déductions peuvent ainsi être faites à partir du modèle adaptatif d'activité d'utilisateur, lié à un élément spécifique, associé à ces horodatages permettant de savoir par exemple si l'utilisateur se connecte à certaines applications sur le serveur d'application plutôt tard dans la soirée, tard dans la nuit, le week-end, pendant les jours travaillés, ou autre. 20 La valeur respective d'évaluation de risque lié à un élément spécifique associée à ces horodatages est déterminée à partir de la déviation entre l'horodatage d'une requête en cours et le modèle adaptatif d'activité d'utilisateur, lié à un élément spécifique, associé avec ces horodatages. 25 Par ailleurs, à titre d'exemple, les durées de la session d'utilisateur sont aussi un élément modélisé par un modèle adaptatif d'activité d'utilisateur élément spécifique. Elles procurent l'information relative à l'authenticité de l'utilisateur alors que l'utilisateur effectue par exemple une réservation de vol d'une certaine manière et par conséquent a besoin d'un certain temps pour effectuer la tâche dans une application de réservation de vol. Naturellement, le temps dont l'utilisateur a besoin pour effectuer une 30 transaction bancaire peut être différent du temps nécessaire pour effectuer une tâche sur une application de réservation de vol. Par conséquent et à titre d'exemple, il y a une certaine durée de session d'utilisateur pour une application (s) de réservation de vol et une certaine durée de session utilisateur pour une application (s) bancaire. Ces durées de session exemplaires sont ensuite reflétées par exemple, par deux modèles adaptatifs différents d'activité d'utilisateur, liés à un élément spécifique, sur la base 35 desquels deux valeurs d'évaluation de risque lié à un élément spécifique associé aux durées de session sont construites, l'une est spécifique aux applications de réservation, l'autre est spécifique aux applications bancaires. 3047594 14 De plus et à titre d'exemple, au moins une information relative au client, au bureau et à l'entreprise, peut être utilisée pour créer des modèles d'activité d'utilisateur liés à un élément spécifique qui leur sont associés. L'information relative au client peut être par exemple, liée à un matériel/logiciel informatique utilisé par l'utilisateur lorsqu'il effectue des actions sur l'application (s) sur le serveur d'application. C'est par exemple, le navigateur internet utilisé (Google Chrome®, Microsoft Internet Explorer®, etc.), ou le type d'ordinateur utilisé (une tablette, un ordinateur personnel [PC] un smartphone, etc.) et le système 10 d'exploitation (Android®, i0S0). L'information relative au client peut également être fournie par l'agent-utilisateur qui est propre aux fichiers qui identifient en détail le navigateur internet utilisé par l'utilisateur. 15 Par exemple, l'information relative au bureau et à l'organisation fait partie d'une adresse IP statique utilisée par une certaine société, une empreinte numérique associée à des requêtes d'utilisateur qui identifie à quelle société, entreprise, ou autre, appartient la requête. De cette façon, l'utilisateur peut être identifié par exemple comme étant un salarié de l'entreprise/société, etc. par l'analyse des requêtes en fonction de ces identifiants. 20 Les valeurs d'évaluation de risque lié à un élément spécifique associées à l'information relative au client sont données par exemple par une combinaison de valeurs d'évaluation de risque lié à un élément spécifique associé au navigateur internet utilisé, l'agent utilisateur, les informations relatives au système d'exploitation et au type d'ordinateur utilisé par le client. La valeur d'évaluation de risque lié à un 25 élément spécifique associé à l'information relative au client est de cette façon, plutôt une valeur précombinée d'évaluation de risque lié à un élément spécifique, mais n'est pas une valeur totale d'évaluation de risque. Dans certains modes de réalisation, un modèle d'activité, lié à un élément spécifique, associé aux 30 horodatages des actions comprend un modèle de mélange Gaussien basé sur les horodatages de l'activité de l'utilisateur. Un modèle de mélange Gaussien est un modèle probabiliste qui assume tous les points de données ; dans ce cas particulier, les horodatages sont générés à partir d'un mélange d'un nombre fini de distributions 35 Gaussiennes dont les paramètres sont inconnus. Par exemple, un tel modèle de mélange Gaussien est donné mathématiquement par : 3047594 15 P(x) = ai) i=i , où aiest une probabilité prioritaire que la ie distribution Gaussienne Gi(x, ai), gi est la valeur attendue de la ie distribution Gaussienne et ai est la déviation standard de la ie distribution Gaussienne et P(x) est la probabilité d'un certain horodatage x. 5 Les valeurs d'expectation et la déviation standard des distributions Gaussiennes sont adaptées aux horodatages de l'activité de l'utilisateur, par exemple une requête d'un utilisateur, par la session par session d'utilisateur mentionnée ci-dessus et également par les poids des distributions Gaussiennes mentionnées ci-dessus avec ces déviations standard et ces valeurs d'expectation. Ainsi le modèle 10 d'activité, lié à un élément spécifique, associé avec les horodatages des activités de l'utilisateur est adapté à l'activité de l'utilisateur. Dans certains modes de réalisation, le calcul de la valeur d'évaluation de risque lié à un élément spécifique associé avec les horodatages des activités de l'utilisateur comprend l'évaluation d'un 15 complément de probabilité d'horodatage extrait des actions de l'utilisateur, le complément étant tiré du modèle de mélange Gaussien. Lorsque la probabilité d'un certain horodatage de l'activité de l'utilisateur, par exemple une requête de connexion à une application sur le serveur d'application est P(x), alors le complément de probabilité de 20 l'horodatage est 1 - P(x). Ainsi lorsque la probabilité d'un certain horodatage est, par exemple 0,05, normalisée de 0 à 1, la valeur d'évaluation de risque lié à un élément spécifique associé à l'horodatage est de 0,95. Alternativement, une fonction exponentielle d'évaluation est utilisée, par exemple, évaluation : s = exp( "i22P2.') 25 , où P correspond à P(x) défini ci-dessus. En réglant le paramètre a différents modèles d'évaluation peuvent être obtenus. Dans certains modes de réalisation, le modèle d'activité d'utilisateur, lié à un élément spééifique, qui caractérise la durée des sessions de l'utilisateur mappe la durée des sessions de l'utilisateur à au moins 30 l'une des données suivantes : une moyenne mobile (ii) une médiane (iii) une déviation standard de la durée de session de l'utilisateur, et (iv) un quantile de la durée des sessions de l'utilisateur. Une moyenne mobile est donnée par exemple, par une moyenne des 1000 dernières durées des sessions de l'utilisateur. 35 3047594 16 Une déviation standard d'un ensemble de données est définie dans les statistiques comme la racine carrée de la variance d'un ensemble de données ou la probabilité de distribution, c'est à dire une moyenne de la racine carrée de la variance entre la valeur d'expectation d'une variable aléatoire, dans ce cas une session de durée, et la valeur actuelle de cette variable. Une médiane est le nombre qui sépare la moitié supérieure d'un échantillon de données ou d'une probabilité de distribution de la moitié inférieure de l'échantillon de données ou de la probabilité de distribution. Si par exemple un ensemble de durées de session de l'utilisateur est donné par {1,0, 2,0, 5,0, 6,0, 8,0, 12,0, 16,0} minutes, la médiane est de 6,0 min, tout comme le point de données central de 10 l'ensemble ordonné. Un quantile est une certaine valeur de durée [de session] d'utilisateur qui divise une probabilité de distribution en une section à droite et une section à gauche de cette valeur. Si par exemple, une probabilité de durées de session d'utilisateur est enregistrée, il peut être déduit que 75 % des durées de 15 session de l'utilisateur sont en dessous d'une certaine valeur à partir de cette distribution, par exemple 8 minutes. De cette façon et à titre d'exemple, si 80 % des dix dernières durées de session étaient supérieures à cette certaine valeur cela pourrait être indicatif d'une activité frauduleuse. Au moins l'une des données suivantes : (i) la moyenne mobile (ii) la déviation standard (iii) la médiane 20 des durées des sessions de l'utilisateur ou une combinaison de celles-là, forme par exemple, un modèle d'activité d'utilisateur lié à un élément spécifique qui est adapté en tenant compte de nouvelles durées de session lors du calcul de la nouvelle moyenne mobile, de la déviation standard ou de la valeur médiane. 25 Le quantile est adapté par exemple en tenant compte des nouvelles valeurs lors du calcul de la probabilité de distribution des durées de session de l'utilisateur, par exemple, les 1000 dernières durées de session. Dans certains modes de réalisation, le calcul de la valeur d'évaluation de risque lié à un élément spécifique à la durée des sessions de l'utilisateur comprend le calcul de la différence entre la durée d'une 30 session de l'utilisateur, et au moins l'une des données suivantes : la moyenne mobile, (ii) la médiane de durées des sessions d'utilisateur, et/ou la comparaison de la durée d'une session de l'utilisateur avec des intervalles de confiance donnés par des multiples de la déviation standard. Une différence entre une durée de session momentanée, c'est à dire le temps écoulé depuis la connexion 35 dans le temps de l'utilisateur ou la durée de la dernière session déjà fermée, et la moyenne mobile, par exemple des 100 dernières durées de session, servent par exemple comme valeurs d'évaluation de risque lié à un élément spécifique associées avec la durée des sessions d'utilisateur. 3047594 17 Dans le cas également où la médiane est utilisée comme modèle d'activité d'utilisateur lié à un élément spécifique, la différence ou la valeur absolue de la différence entre une durée de session momentanée ou la durée de la dernière session déjà fermée et la médiane des dernières 100 durées de session, sert par 5 exemple de valeur adaptative d'évaluation de risque lié à un élément spécifique associé à la durée des sessions de l'utilisateur. Les intervalles de confiance donnés par exemple, par des multiples de la déviation standard d'une probabilité de déviation des durées de session (lcr, 2a, 3a, peuvent aussi être utilisés pour calculer la 10 valeur d'évaluation de risque lié à un élément spécifique. La probabilité que la durée d'une session soit - comprise dans un champ [l'intervalle de confiance] de g ± la, où g est la valeur d'expectation et a est la déviation standard, est approximativement de 68,27 % alors que la probabilité qu'une durée de session soit comprise dans un intervalle de confiance de g ± 2o- est 95,45 %. Ainsi, comme le montrent ces chiffres, la probabilité qu'une durée de session ne soit pas comprise dans ces intervalles est de 31,73 %, 15 soit 4,55 %, respectivement. Le complément de ces probabilités est ainsi utilisé par exemple, comme valeur d'évaluation de risque. De cette façon, une valeur de durée de session qui n'est pas comprise dans l'intervalle de confianceµ ± 2cr a par exemple, une probabilité de fraude de 95,45 % et une valeur d'évaluation de risque correspondante. 20 Dans certains modes de réalisation, les éléments reflétant l'activité de l'utilisateur comprennent une séquence d'actions effectuées par l'utilisateur. Ainsi, le modèle adaptatif d'activité d'utilisateur, lié à un élément spécifique, est un modèle de séquences d'actions effectuées par l'utilisateur. Une séquence d'action exemplaire est donnée par : 25 1. Identification 2. Navigation entre diverses combinaisons d'options de vols et d'hôtels cinq étoiles en Grèce, 3. Sélection d'un hôtel cinq étoiles avec piscine et service tout compris, 4. Location d'une petite citadine 30 5. Paiement entre une à cinq minutes après avoir choisi par avance une transaction bancaire avec la banque XY 6. Fermeture de session dans l'application de réservation. Vu que les séquences d'action lorsque l'on utilise une application indiquent les habitudes de l'utilisateur, 35 elles sont pertinentes aux fins d'authentifier l'utilisateur. Donc et à titre d'exemple, de telles séquences sont modélisées par un modèle d'activité d'utilisateur, lié à un élément spécifique. 3047594 18 Dans certains modes de réalisation, le modèle d'activité lié à un élément spécifique qui caractérise la relation entre les actions individuelles de la séquence d'actions est un modèle de chaîne Markov. Les modèles de chaîne Markov modélisent un système aléatoire avec une pluralité d'états, dans cet exemple une action [est effectuée] par l'utilisateur ou chacun de ces états a une probabilité de transition associée à un autre état. Par exemple, l'activité d'un utilisateur, quand il fait une réservation de vol ou d'hôtel, peut être considérée comme un tel système aléatoire avec une pluralité d'états. Dans un modèle Markov qui est un modèle soi-disant « sans mémoire », les probabilités de transition d'un état à un autre dépendent uniquement de l'état actuel, et non des états antérieurs. 10 La probabilité de transition qui forme une étape précédente «A », par exemple, la navigation entre les hôtels cinq étoiles à une étape suivante «B », par exemple, la réservation d'un hôtel trois étoiles est par exemple donnée par : Pr(Xi = BI )G1 = A) = 0,01 - 15 La probabilité totale de séquence complète de six actions successives, Xi X6 effectuées par l'utilisateur à partir d'un moment t=1 à un moment t=6, chaque horodatage qui est associé avec une certaine activité de l'utilisateur est donné par : t=6 P(X1,... X6) = P(Xi) P(Xt_ Xt) t=2 , où P(Xi, X6)est la probabilité totale de six actions successives, X1àX6, P(X1) est la probabilité que 20 l'actionXi est effectuée, P(Xt_iXt)est la probabilité de transition d'une étape Xt_1 à une étapeXt. Ces six actions étiquetées comme Xi à X6 pourraient par exemple être les six actions décrites précédemment effectuées par l'utilisateur lors de la réservation d'une combinaison d'offres hôtel et vol. 25 Dans certains modes de réalisation, le calcul de la valeur d'évaluation de risque lié à un élément spécifique associé avec la séquence d'actions effectuées par l'utilisateur comprend la détermination d'un complément de la probabilité Markov d'une séquence d'actions données extraites à partir des actions de l'utilisateur. 30 Dans ce contexte, le complément de la probabilité Markov est, par exemple, la probabilité qu'un certain utilisateur n'effectue pas l'étape «B » après l'étape «A ». Par exemple, si un utilisateur a l'habitude de payer par transaction bancaire par avance après avoir réservé un vol, passer de « réserver un vol » (étape A) à « payer par avance par transaction bancaire » (étape B) est une transition ; la probabilité Markov de cette séquence (partielle) peut avoir une valeur de 0,95. Le complément de la probabilité Markov est de 35 0,05, par conséquent, la valeur d'évaluation de risque lié à un élément spécifique de cette séquence 3047594 19 d'actions correspond à ce complément et elle est par là même très faible. Cependant, si une autre action avec une probabilité de transition très faible est effectuée, la valeur d'évaluation de risque lié à un élément spécifique est très élevée. À titre d'exemple, si habituellement, un utilisateur n'oublie jamais son mot de passe, alors de multiples essais d'identification erronée lors d'une identification (dus à l'entrée d'un mot de passe erroné) qui correspondent à une probabilité de transition d'une étape «A » à une même étape «A », sont alors associés avec un complément de la probabilité Markov élevé et donc une valeur élevée d'évaluation de risque élément spécifique. Aussi, le complément Markov n'est pas seulement une probabilité de transition, mais aussi la probabilité 10 qu'une certaine séquence d'actions soit par exemple, utilisée comme valeur d'évaluation de risque lié à un élément spécifique. Lorsque P(X1, X6) est la probabilité totale de six actions successives, le complément de cette probabilité est donné par I - ..., X6). À nouveau, des compléments élevés correspondent à des valeurs élevées d'évaluation de risque lié à un élément spécifique. 15 Dans certains modes de réalisation, la combinaison de valeurs d'évaluation de risque lié à un élément spécifique comprend la pondération des valeurs d'évaluation selon leur probabilité relative de fraude. Comme mentionné ci-dessus, des valeurs d'évaluation de risque élément spécifique pourraient être plus indicatives de fraude relative à l'authenticité de l'utilisateur. Pour donner un exemple, une connexion 20 en Chine, lorsque l'utilisateur s'est connecté trois heures plus tôt à partir de la France est plus indicative d'une fraude que, par exemple, lorsqu'un utilisateur envoie une requête à partir d'un autre ordinateur ayant une adresse IP différente de celle qu'il ou elle utilise habituellement. Afin d'en tenir compte, les valeurs d'évaluation de risque lié à un élément spécifique sont combinées 25 d'une façon adaptative à une valeur totale d'évaluation de risque. Les valeurs d'évaluation de risque lié à un élément spécifique sont par exemple pondérées selon leur probabilité de fraude relative. La pondération des valeurs d'évaluation de risque lié à un élément spécifique et aussi le type de combinaison choisie sont définis par exemple par un analyste de risque. 30 Le seuil également, avec lequel la valeur totale d'évaluation de risque est comparée, est adapté par exemple à certaines valeurs d'évaluation de risque. De cette façon si certaines valeurs d'évaluation de risque lié à un élément spécifique dépassent un seuil individuel, ou que certains modèles d'activité sont détectés, qu'ils soient appris par un modèle de réseau neuronal ou qu'ils soient prédéfinis, le seuil global peut-être abaissé de façon à ce que l'action corrective décrite ci-dessus soit mise en oeuvre quel que soit 35 le cas. En combinant de façon adaptative le poids des valeurs d'évaluation de risque lié à un élément spécifique, 3047594 20 ainsi que les synergies entre certains critères, par exemple, les évaluations de risque associé avec certains éléments peuvent être prises en compte. Comme dans l'exemple ci-dessus, une valeur élevée d'évaluation de risque associé avec un horodatage pourrait être élevée simplement parce qu'un individu est en train de travailler pendant la nuit, cependant, quand la valeur d'évaluation de risque est associée avec l'origine de la requête est également élevée, la pondération de ces deux facteurs dans la combinaison donnant une valeur totale d'évaluation de risque pourrait être potentialisée en les multipliant par exemple avec un certain nombre proche du seuil ou autre. Cependant, d'autres valeurs d'évaluation de risque lié à un élément spécifique pourraient être 10 superflues ; par exemple, la valeur d'évaluation de risque lié à un élément spécifique associée avec l'ordinateur du client, est élevée ainsi que la valeur d'évaluation de risque lié à un élément spécifique associée avec le navigateur internet lors de l'utilisation d'un autre ordinateur du client tel qu'une tablette Android® du client, il est vraisemblable qu'un autre navigateur internet préinstallé, comme Google Chrome® est utilisé à la place de Microsoft Internet Explorer® qui pourrait être la préférence normale 15 de l'utilisateur sur un ordinateur fonctionnant sous Windows®. Par conséquent, dans ces cas, la pondération des deux valeurs d'évaluation de risque lié à un élément spécifique pourrait être diminuée par rapport à leur pondération standard dans la combinaison qui donne la valeur totale du risque évalué. La pondération de telles valeurs d'évaluation de risque lié à un élément spécifique lorsqu'elles sont combinées à une valeur précombinée d'évaluation de risque est aussi ajustée 20 de cette façon, par exemple. Une telle règle pourrait aussi être choisie par un analyste de risque ou pourrait alternativement être trouvée automatiquement par la méthode de surveillance de l'authenticité d'un utilisateur. Par exemple en ajustant de façon itérative les facteurs de pondération sur la base d'un modèle de réseau neuronal ou 25 autre. Une simple façon de combiner les valeurs d'évaluation de risque lié à un élément spécifique est d'utiliser une moyenne pondérée des valeurs d'évaluation de risque élément spécifique. Une façon de déterminer la valeur totale d'évaluation de risque de cette façon est donnée par: 30 R = pi * ri , E pi = 1 , où R représente la valeur totale du risque évalué, ri sont N valeurs différentes d'évaluation de risque élément spécifique, et pi sont leurs poids respectifs. Dans certains modes de réalisation, les valeurs d'évaluation de risque lié à un élément spécifique sont 35 combinées à la valeur totale d'évaluation de risque en utilisant l'analyse de décision à critères multiples 3047594 21 (MCDA), l'analyse de décision à critères multiples comprenant la détermination d'au moins une moyenne ordonnée doublement pondérée et une moyenne ordonnée pondérée de ces valeurs. Les moyennes ordonnées pondérées et les moyennes ordonnées doublement pondérées sont des outils 5 de techniques MCDA pour les environnements « flous », c'est-à-dire les environnements où la transition entre deux états, par exemple, frauduleux ou non frauduleux est plutôt floue que définissable de façon exacte. Une possibilité pour obtenir la valeur totale d'évaluation de risque est d'utiliser une moyenne ordonnée 10 pondérée des valeurs d'évaluation de risque lié à un élément spécifique. Les valeurs d'évaluation de risque lié à un élément spécifique sont de cette façon, pondérées selon leur ordre. Une moyenne ordonnée pondérée de valeurs d'évaluation de risque lié à un élément spécifique afin d'obtenir une valeur totale d'évaluation de risque, est donnée par : 15 R (ri ... rN) = WB , où R est la valeur totale du risque évalué, W = (w1 WN) est un vecteur de poids wi, et B = (b1...bN) est un vecteur de valeurs d'évaluation de risque lié à un élément spécifique bi, ordonnées selon leur magnitude en commençant avec la valeur la plus élevée d'évaluation de risque comme élément b1. Les 20 poids wi de vecteur W sont dans la somme un : EN 1 wi = 1. OWA diffère d'une moyenne pondérée classique en ce que la moyenne pondérée classique des poids n'est pas associée avec la position d'une entrée particulière dans une séquence ordonnée d'entrées, mais plutôt avec leur magnitude indépendamment de la position. Par contraste avec OWA les poids dépendent 25 généralement de la position des entrées dans une séquence ordonnée d'entrées. Il en résulte qu'OWA peut mettre en avant par exemple les valeurs les plus grandes, les plus petites ou celles du milieu. L'analyste de risque peut inclure certaines préférences parmi les valeurs d'évaluation de risque lié à un élément spécifique tel que « le plus de » ou « le moins de » k critères (de N) pour avoir une valeur élevée significative afin que la valeur totale d'évaluation de risque devienne significative également. 30 Une séquence ordonnée d'entrées (classées en ordre décroissant de magnitude) peut-être dénommée W, et représente une liste, ou « vecteur » d'entrées. À titre d'exemple, un analyste de risque pourrait vouloir mettre en avant deux ou plusieurs valeurs d'évaluation de risque lié à un élément spécifique significative& Par conséquent, le poids le plus élevé en 2e position dans W est sélectionné. En supposant 35 par exemple que B1 = [0.9 - 0,0 - 0,0 - 0, 8 - 0,0] et W1 = [0, 1, 0, 0, 0], une valeur de moyenne arithmétique de 0,34 et une valeur correspondante OWAw de 0,8 seraient obtenues. En supposant dans un autre exemple que B2 = [0,2 - 1,0 - 0,3, - 0,2 - 0,3] et W2 = [0,1, 0, 0, 0], une valeur. de 3047594 22 moyenne arithmétique de 0,40 et une valeur correspondante OWAw de 0,3 seraient obtenues à la place. Il est évident qu'OWA peut faire une nette différence entre ces deux vecteurs de valeurs d'évaluation de risque élément spécifique, alors que la moyenne arithmétique ne le peut pas. 5 Une autre possibilité pour obtenir la valeur totale d'évaluation de risque est d'utiliser une moyenne ordonnée doublement pondérée des valeurs d'évaluation de risque lié à un élément spécifique. Les valeurs d'évaluation de risque lié à un élément spécifique sont ainsi pondérées par leur ordre et leur importance. La fonction agrégation combine les avantages des deux types de fonctions de moyenne en permettant à l'analyste de risque de quantifier la fiabilité des valeurs d'évaluation de risque lié à un 10 élément spécifique avec un vecteur P (comme le fait la moyenne pondérée) et en même temps pondère les valeurs en fonction de leur position relative avec un second vecteur W (comme l'opérateur OWA). Dans ce qui suit, W et P sont deux vecteurs de pondération s'additionnant à 1 avec la même signification que ceux utilisés précédemment pour OWA et pour la moyenne pondérée, respectivement. Une moyenne 15 ordonnée doublement pondérée des valeurs d'évaluation de risque lié à un élément spécifique pour obtenir une valeur totale d'évaluation de risque, est donnée par : R (ri ... rN) = UB , où R est la valeur totale du risque évalué, U = (u1 uN) est un vecteur de poids ui, et B = bN) est un vecteur de valeurs d'évaluation de risque lié à un élément spécifiquebi, ordonnées selon leur 20 magnitude en commençant avec la valeur la plus élevée d'évaluation de risque comme élément b1. Les poids uide vecteur U sont de nouveau dans la somme un : EN 1 u. = 1. Les poids d'U sont obtenus par une fonction d'interpolation monotone non décroissante G appliquée à des sous-ensembles combinatoires de vecteur de pondération P, où la fonction d'interpolation G est définie par un ensemble de points liés au vecteur de pondération. W. L'opérateur WOWA peut essentiellement être considéré 25 comme une fonction OWA avec les poids ui, qui sont obtenus en combinant deux vecteurs de pondération W (comme utilisé dans OWA) et P (comme utilisé dans la moyenne pondérée) en utilisant une fonction génératrice G : U = func(W, 30 À nouveau, à titre d'exemple, un analyste de risque pourrait vouloir mettre en avant deux ou plusieurs valeurs d'évaluation de risque plus significatives et en même temps vouloir exprimer l'importance relative plus élevée des éléments 1 et 4. Par conséquent, le poids le plus élevé en 2' position dans U est sélectionné. Supposons que : B1 = [0, 9 - 0,0 - 0,0 - 0, 8 - 0,0], W1 = [0, 1, 0, 0, 0] et P1 = [0, 4 - 0,1 - 0,1 - 0, 3 - 0,1], une valeur de moyenne arithmétique de 0,34, une valeur moyenne 35 pondérée de 0,60 et une valeur correspondante WOWA um de 0,90 seraient obtenues. D'autre part, supposons que : B2 = [0,2 - 1,0 - 0,3 - 0,2, - 0,3], W2 = [0,1, 0, 0, 0], et P2 = [0, 4 - 0,1 - 3047594 23 0,1 - 0, 3 - 0,1], une moyenne arithmétique de 0,40, une valeur moyenne pondérée de 0,30 et une valeur correspondante WOWAus de 0,25 seraient préférées. II devient clair que WOWA peut faire une différence encore plus marquée entre ces deux vecteurs de valeurs d'évaluation de risque lié à un élément spécifique. Comme indiqué précédemment la moyenne arithmétique n'apporte pas de distinction claire entre les différents vecteurs pour les exemples donnés ci-dessus. Une moyenne pondérée (WM) donne une meilleure distinction qu'une moyenne arithmétique dans une certaine mesure ; La WOWA apporte une distinction encore plus claire. Dans l'exemple présenté, la différence de valeur de la moyenne arithmétique est seulement de 0.30, alors que le WOWA sépare les deux cas par 0.65. 10 Néanmoins, d'autres techniques de combinaison dans le domaine des techniques MCDA, comme les intégrales floues sont appliquées par exemple pour obtenir la valeur totale du risque évalué. Les intégrales floues, telles les intégrales de Choquet sont appropriées pour l'inclusion d'interactions positives (synergies) et des interactions négatives (superflues) entre certains sous-ensembles de valeurs d'évaluation de risque lié à un élément spécifique dans la combinaison de valeurs d'évaluation de risque 15 lié à un élément spécifique. Les intégrales floues sont définies par rapport à ce qu'on appelle des mesures floues (ou capacités) qui sont des ensembles de fonctions utilisées pour définir, dans un certain sens, l'importance de tout sous-ensemble appartenant à l'ensemble de puissance de N (l'ensemble d'éléments). Les intégrales floues peuvent être considérées comme une généralisation de toutes les fonctions de moyenne décrite ci-dessus. 20 Dans certains modes de réalisation, en réponse à la détection de certains modèles d'éléments, une authentification basée sur deux critères est demandée à l'utilisateur, sinon l'utilisateur est verrouillé, ou l'utilisateur est déconnecté de la session, ou une fonction d'alerte est déclenchée, quelle que soit la valeur totale d'évaluation du risque. 25 Par conséquent, quelles que soient la valeur totale d'évaluation de risque et les statistiques sous-jacentes, certains modèles d'activité peuvent provoquer une action corrective associée. Ces modèles d'activité pourraient être définis par un analyste de risques. Par exemple, quand, à plusieurs reprises, une personne veut changer son identifiant et son mot de passe, cela peut soulever un doute sur l'identité de l'utilisateur 30 et conduire automatiquement à la demande à l'utilisateur d'une authentification basée sur deux critères, car ce modèle d'activité soulève des doutes quant à l'identité de l'utilisateur. Selon un second aspect, un serveur de système est procuré qui comprend au moins un processeur et au moins une mémoire non volatile comprenant au moins un programme informatique dans lequel des 35 instructions exécutables sont stockées pour surveiller l'authenticité de l'utilisateur pendant ses activités lors des sessions de l'utilisateur sur au moins un serveur d'application. Les instructions exécuiables lorsqu'elles sont exécutées par au moins un processeur amènent le processeur à effectuer un processus 3047594 24 de modélisation de l'utilisateur dans lequel un modèle existant d'utilisateur est adapté aux activités de l'utilisateur session par session. Le modèle d'utilisateur comprend une pluralité de modèles adaptatifs d'activité d'utilisateur, liés à un élément spécifique, lesdits modèles d'activité liés à un élément spécifique, étant associés à des éléments indicatifs de l'activité de l'utilisateur. Les instructions 5 exécutables lorsqu'elles sont exécutées par au moins un processeur amènent par ailleurs le processeur à effectuer un processus de vérification de l'utilisateur comprenant la détermination d'une pluralité de valeurs d'évaluation de risque lié à un élément spécifique où la détermination d'une valeur d'évaluation de risque lié à un élément spécifique de la pluralité des valeurs d'évaluation de risque lié à un élément spécifique comprend la comparaison d'au moins un modèle adaptatif d'activité d'utilisateur lié à un 10 élément spécifique, avec un élément respectif extrait d'au moins une activité de l'utilisateur lors d'une session d'utilisateur sur le serveur d'application, associée avec au moins ledit élément. La détermination d'une valeur d'évaluation de risque lié à un élément spécifique comprend par ailleurs la détermination d'une valeur totale d'évaluation de risque indicative de la non-authenticité de l'utilisateur, où la détermination de la valeur totale d'évaluation de risque comprend a) la pondération et la combinaison 15 de la pluralité des valeurs d'évaluation de risque lié à un élément spécifique ou b) la pondération et la combinaison de valeurs précombinées d'évaluation de risque. Les valeurs précombinées d'évaluation de risque sont déterminées en combinant une portion de la pluralité des valeurs d'évaluation de risque lié à un élément spécifique. Lorsque la valeur totale d'évaluation de risque dépasse un seuil donné, la mise en oeuvre d'une action corrective, comprenant au moins l'une des actions suivantes : (i) la fermeture 20 de session de l'utilisateur (ii) une demande d'une authentification basée sur deux critères (iii) le verrouillage de l'utilisateur, et (iv) le déclenchement une fonction d'alerte. Selon un troisième aspect, une méthode pour surveiller l'authenticité d'un utilisateur pendant les activités de l'utilisateur lors de sessions de l'utilisateur sur au moins un serveur d'application, la méthode 25 étant effectuée de façon distribuée à l'aide d'un système de serveurs distribué, le système de serveur distribué comprenant au moins ledit serveur d'application et au moins un serveur de modèle d'utilisateur. Les serveurs d'application et de modèles d'utilisateur comprenant au moins un processeur et au moins une mémoire non volatile comprenant au moins un programme informatique contenant des instructions exécutables. La méthode étant effectuée par les processeurs exécutant les instructions, où les instructions amènent les processeurs à effectuer un processus de modélisation de l'utilisateur, dans lequel un modèle d'utilisateur existant est adapté aux activités de l'utilisateur, session par session. Par ailleurs, les instructions amènent les processeurs à exécuter un processus de vérification d'utilisateur comprenant la comparaison du modèle d'utilisateur avec des éléments extraits de l'activité de la session de l'utilisateur sur le serveur d'application, la détermination d'une valeur totale d'évaluation de risque 35 sur la base de la comparaison, en réponse à la valeur totale d'évaluation de risque qui dépasse un seuil donné. Le processus de vérificafion d'utilisateur comprend par ailleurs la mise en oeuvre d'une action corrective, dans lequel l'action corrective comprend au moins une de ces actions suivantes :(i) la 3047594 25 fermeture de session de l'utilisateur (ii) une demande de double authentification basée sur deux critères (iii) le verrouillage de l'utilisateur, et (iv) le déclenchement d'une fonction d'alerte, le transfert des données de l'activité de l'utilisateur à partir d'au moins un serveur d'application sur au moins un serveur de modèles d'utilisateur et le transfert de données d'un modèle d'utilisateur adapté à partir d'au moins un serveur de modèles d'utilisateur sur au moins un serveur d'application. Le processus de modélisation d'utilisateur étant effectué sur au moins un serveur de modèles d'utilisateur, dans lequel le modèle d'utilisateur est adapté en fonction des données de l'activité de l'utilisateur transférées à partir d'au moins un serveur d'application. Le processus de vérification d'utilisateur est effectué sur au moins ledit serveur d'application, dans lequel le processus de vérification de l'utilisateur est effectué en utilisant les 10 données adaptées du modèle d'utilisateur, transférées à partir du serveur de modèles d'utilisateur. WO 2006 118 968 A2 mentionné au tout début n'a pas de mécanisme d'apprentissage ; il n'y a pas d'apprentissage automatique effectué. Seul un ensemble de règles prédéterminées est utilisé. Comme éléments d'entrée, seules les empreintes propriétaires sont utilisées, tels que les cookies sécurisés et 15 objets flash. L'évaluation d'évaluation/authenticité est basée sur des règles utilisant un modèle simpliste (concordance, discordance, manquant). Un modèle de pondération de base est utilisé - aucun modèle de décision complexe comme MCDA, ou autre. US 2013/0104203 Al mentionné au tout début procure une combinaison d'un moteur basé sur des règles 20 et de distributions statistiques simples. Les interactions de réseaux sociaux, l'utilisation crypto et les caractéristiques biométriques sont utilisées comme éléments d'entrée. L'évaluation d'évaluation/authenticité n'est pas décrite, en particulier l'évaluation d'évaluation/authenticité ne reposant pas sur l'analyse de décision à critères multiples (MCDA). 25 BRÈVE DESCRIPTION DES DESSINS Les modes de réalisation exemplaires de l'invention sont maintenant décrits avec des références aux dessins annexés, dans lesquels Fig. 1 est une vue d'ensemble schématique d'un système de serveur distribué effectuant une méthode 30 exemplaire de surveillance de l'authenticité d'un utilisateur, Fig. 2 illustre de façon schématique l'extraction d'un élément à partir d'un enregistrement de log d'une application spécifique, 35 Fig. 3a est un diagramme bloc schématique d'une méthode exemplaire de surveillance de l'authenticité d'un l'utilisateur avec une seule valeur d'évaluation de risque lié à un élément 3047594 26 spécifique pour chaque élément et une combinaison à une seule étape des valeurs d'évaluation de risque en utilisant des techniques MCDA, Fig. 3 b est un diagramme bloc schématique d'une méthode exemplaire de surveillance de 5 l'authenticité d'un l'utilisateur avec une seule valeur d'évaluation de risque lié à un élément spécifique pour chaque élément et une combinaison à deux étapes des valeurs d'évaluation de risque lié à un élément spécifique en utilisant la technique MCDA, Fig. 3c est un diagramme bloc schématique d'une méthode exemplaire de surveillance de 10 l'authenticité d'un utilisateur avec deux valeurs d'évaluation de risque lié à un élément spécifique résultant de deux modèles d'utilisateurs différents pour chaque élément et une combinaison à deux étapes des valeurs d'évaluation de risque lié à un élément spécifique en utilisant la technique MCDA, 15 Fig. 4 illustre la combinaison de valeurs d'évaluation de risque lié à un élément spécifique en utilisant une pondération d'une moyenne ordonnée doublement pondérée ou une moyenne ordonnée pondérée. Fig. 5 illustre un modèle de mélange Gaussien d'une probabilité de distribution des horodatages des 20 activités de l'utilisateur, Fig. 6 illustre schématiquement un modèle de chaîne Markov d'une séquence d'actions effectuées par l'utilisateur, 25 Fig. 7 est un organigramme schématique d'une méthode exemplaire de surveillance de l'authenticité d'un utilisateur, Fig. 8 est un profil de risque illustrant une pluralité de valeurs d'évaluation de risque lié à un élément spécifique et une probabilité de fraude, 30 Fig. 9 illustre un système informatique exemplaire utilisé pour mettre en oeuvre la méthode décrite dans les présentes. Les dessins et la description des dessins sont des exemples de l'invention et ne représentent pas 35 l'invention en elle-même. Les signes de référence similaires renvoient à des éléments similaires dans toute la description des modes de réalisation. 3047594 27 DESCRIPTION DES MODES DE RÉALISATION Une vue d'ensemble d'un système exemplaire de serveur distribué 5 qui est agencé pour exécuter une méthode exemplaire de surveillance de l'authenticité d'un utilisateur comme l'illustre la fig. 1. Les serveurs : 1, l', 1", 2, 3 et 4 comprennent chacun un ou plusieurs processeurs et une mémoire non volatile 5 contenant un ou plusieurs programmes informatiques contenant des instructions exécutables pour une méthode de surveillance de l'authenticité d'un utilisateur pendant les activités de l'utilisateur lors d'une session de l'utilisateur sur au moins un des serveurs d'application 1, 1', 1". La ligne verticale en pointillés illustre une séparation physique spatiale du serveur d'application 1 à partir des autres serveurs 2, 3 et 4. Les instructions exécutables, lorsqu'elles sont exécutées par le ou les processeurs de tout serveur 1, 10 2, 3 ou 4, amènent les processeurs des serveurs : 1, 2, 3 et 4 à effectuer la méthode exemplaire décrite dans ce qui suit : Un daemon (non représenté), en cours d'exécution sur au moins un serveur d'application 1, 1', 1", poussent les données de log d'application 60 vers un moteur d'apprentissage 22 en cours d'exécution 15 sur le serveur de modèles d'utilisateur 2. Les données de log d'application 60 comprennent des informations sur les activités que l'utilisateur effectue sur l'application (s), qui sont données par un code applicatif 11. La méthode décrite peut être effectuée pour une pluralité d'applications différentes 11 en cours 20 d'exécution sur un seul serveur 1, 1', 1" ou une combinaison de ceux-là. Par souci de simplicité, la méthode est expliquée dans cette description de modes de réalisation pour un serveur d'application 1 et les activités que l'utilisateur effectue sur une application 11 en cours d'exécution sur le serveur d'application 1. 25 Le serveur de modèles d'utilisateur 2 est connecté au serveur d'application 1 par l'intermédiaire d'un réseau, tel qu'Internet, un réseau local (LAN) ou un réseau métropolitain de zone (MAN), un réseau étendu (WAN) ou autre. Le moteur d'apprentissage 22 comprend un module d'extraction d'éléments 23 et un module de modélisation des activités 24. Le module d'extraction 23 analyse les données de log d'application 60 en utilisant diverses techniques automatiques d'analyse de log, afin d'en extraire les 30 éléments pertinents pour adapter un modèle d'utilisateur existant 25 qui réside sur le serveur de modèles d'utilisateur 2. Les éléments extraits comprennent par exemple, une séquence d'actions effectuées par l'utilisateur, les infos utilisateur 81, telles que l'information relative aux bureaux ou à l'entreprise, l'info temps 82, sous forme de temps de connexion, par exemple l'horodatage d'une requête de connexion de l'utilisateur, les durées de session 83, l'info client 84 et les origines des requêtes de l'utilisateur 85. 35 Les éléments extraits sont transmis au module de modélisation d'activité 24 qui adapte le modèle d'utilisateur existant 25 selon les éléments extraits. Le modèle d'utilisateur existant 25 est adapté en 3047594 28 adaptant des modèles d'activité d'utilisateur, liés à un élément spécifique, 26 associés avec les éléments extraits comme le montrent les figures 3a et3b. Les modèles d'utilisateur, liés à un élément spécifique, 26, sont par ailleurs utilisés comme apport pour le moteur d'évaluation de risque 21 qui réside aussi sur le serveur de modèles d'utilisateur 2. Le moteur d'évaluation de risque 21 est adapté aux modèles 5 d'activité d'utilisateur, liés à un élément spécifique, 26 en adaptant par exemple, un poids des valeurs d'évaluation de risque lié à un élément spécifique 70 dans une technique d'analyse de décision à critères multiples (MCDA) pour combiner les valeurs d'évaluation de risque lié à un élément spécifique 70 à une valeur totale unique d'évaluation de risque 71. Les valeurs d'évaluation de risque lié à un élément spécifique 70 peuvent être obtenues sur la base des modèles d'activité d'utilisateur, liés à un élément 10 spécifique, 26. Tous deux, le modèle d'utilisateur 25 (adapté) et le moteur d'évaluation de risque (adapté) 21 sont répliqués côté application, par exemple ils sont copiés sur le réseau à partir du serveur de modèles d'utilisateur 2 sur le serveur d'application 1. Côté application, le côté droit de la ligne verticale en 15 pointillés sur la Fig. 1, la dernière activité de l'utilisateur est enregistrée dans un log. Le moteur d'évaluation de risque répliqué 17 compare par les éléments extraits du log avec le modèle d'utilisateur répliqué 16, plus précisément avec les modèles d'activité d'utilisateur liés à un élément spécifique 26 compris dans le modèle d'utilisateur répliqué 16. De cette façon, le moteur d'évaluation de risque répliqué 17 obtient des valeurs d'évaluation de risque lié à un élément spécifique 70 et les combine selon 20 le poids de ces valeurs à une valeur totale d'évaluation de risque 71. La valeur totale d'évaluation de risque 71 est comparée à un seuil donné par une application de contrôle d'accès 14 qui est connectée à l'application par une interface de contrôle d'accès à l'application 15. Le seuil donné est défini dans une antémémoire de règles 12, répliqué à partir d'une antémémoire de 25 règles 42 construites à l'origine sur un serveur de règles 4. Lorsque la valeur totale d'évaluation de risque 71 dépasse le seuil donné par l'antémémoire de règles 12, l'application de contrôle d'accès 14 déclenche une action corrective 72 qui est prédéfinie dans l'antémémoire de règles 12. L'action corrective 72 dépend de l'actuelle valeur totale d'évaluation de risque 71, et par conséquent, du seuil dépassé. L'action corrective 72 déclenchée est effectuée par exemple, par un module d'actions 30 correctives 34 sur un serveur de connexion et de sécurité 3. L'action corrective 72 est l'une des actions suivantes : (i) la fermeture de la session de l'utilisateur (ii) une demande d'une authentification basée sur deux critères de la part de l'utilisateur (iii) le verrouillage de l'utilisateur, et (iv) le déclenchement d'une fonction d'alerte. Pour donner un exemple, il y a trois seuils correspondant chacun à une action corrective différente 72. Lorsque la valeur totale d'évaluation de risque 71 est supérieure à un premier 35 seuil, une authentification basée sur deux critères est demandée à l'utilisateur, si la valeur totale d'évaluation de risque 71 est supérieure à un second seuil, l'utilisateur est déconnecté de la session, alors que lorsque la valeur totale d'évaluation de risque 71 est supérieure à un troisième seuil, l'utilisateur est 3047594 29 verrouillé. Cependant, l'action corrective 72 peut aussi être déclenchée par l'application de contrôle d'accès 14, quand un certain modèle d'élément est détecté dans les activités de l'utilisateur qui correspond à un 5 modèle d'élément prédéfini stocké dans l'antémémoire de règles 12. Par conséquent, des actions de l'utilisateur provoquent une certaine action corrective 72, quelle que soit la valeur totale d'évaluation de risque 71. Les modèles d'éléments prédéfinis sont définis par exemple, par un technicien en analyse de risque sur les règles du serveur 4 .et sont exportés sur l'antémémoire de règles 12 sur le serveur d'application 1 après la définition du modèle d'élément. 10 Lorsque la valeur totale d'évaluation de risque 71 est inférieure aux seuils donnés, aucune action corrective 72 n'est appliquée et un nouveau log de données 60 comprenant les activités enregistrées de l'utilisateur lors de la session de l'utilisateur est transmis au moteur d'apprentissage 22 à la fin de la session, par exemple lorsque l'utilisateur s'est déconnecté de l'application. Le modèle d'utilisateurs 25 15 est à nouveau adapté aux éléments extraits des données du log 60 comme décrit ci-dessus. De cette façon, l'authenticité de l'utilisateur est vérifiée, et le modèle d'utilisateur 25 et le moteur d'évaluation de risque 21 sont adaptés aux activités de l'utilisateur lors de la session de l'utilisateur, de session en session. 20 Une extraction schématique d'éléments à partir des données de log 60 d'une application spécifique est illustrée dans la fig. 2. Les éléments sont extraits des données de log 60' d'une application dans lequel les activités de l'utilisateur sont enregistrées pendant la session d'utilisateur. Les éléments extraits comprennent par exemple, les activités 80 effectuées par l'utilisateur, par exemple une séquence d'actions effectuées par l'utilisateur. Un autre exemple d'élément extrait est l'information relative à 25 l'utilisateur 81 telle que l'information relative aux bureau/entreprise, l'info temps 82 sous forme d'heures de connexion, par exemple l'horodatage de la requête de connexion de l'utilisateur. Par ailleurs les durées de session 83, par conséquent le temps passé entre une ouverture de session et une fermeture de session de l'utilisateur, peuvent être extraites du des données du log 60 comme un élément. D'autres exemples d'éléments incluent l'information client 84, tel que le type de navigateur internet utilisé, le 30 type d'ordinateur utilisé ou le système d'exploitation utilisé, etc., et l'origine des requêtes d'utilisateur 85 fournie par exemple, par les adresses IP des requêtes ou de la région à laquelle une adresse IP peut être associée. Les éléments sont extraits du des données du log 60' en analysant par exemple un enregistrement de 35 log 60 avec divers algorithmes d'analyse et par la reconstruction de la session de l'utilisateur en séquençant les informations amassées avec les algorithmes d'analyse de façon à ce que l'information analysée reflète les activités successives effectuées par l'utilisateur lors de l'utilisation de l'application. 3047594 30 Le séquencement peut être basé sur les horodatages ou sur des conditions logiques reliant les actions. Le fait qu'un utilisateur ne peut payer qu'après avoir été redirigé vers une application bancaire procure un exemple d'une telle condition logique. La reconstruction de la session de l'utilisateur est ci-après désignée comme session de suivi de l'utilisateur 61 (non représentée dans la fig.2). Un diagramme bloc schématique d'une méthode exemplaire de surveillance de l'authenticité d'un utilisateur avec une valeur d'évaluation de risque unique pour chaque élément et une combinaison à une étape des valeurs d'évaluation de risque lié à un élément spécifique 70 en utilisant les techniques MCDA, est représenté dans la fig. 3a. Dans une première activité, les données de log (s) 60 obtenues d'une ou de plusieurs applications sur le serveur d'application 1 sont utilisées pour reconstruire la session (s) de l'utilisateur avec le suivi de session d'utilisateur 61, comme décrit ci-dessus. Dans la méthode exemplaire illustrée dans la fig. 3a, trois éléments différents sont extraits : 1. L'origine 85 de l'activité de l'utilisateur, c'est-à-dire l'adresse IP d'une requête HTTP ; 2. L'info temps 82, c'est-à-dire l'horodatage des ouvertures de session de l'utilisateur ; 3. La durée 83, c'est-à-dire la durée de la session de l'utilisateur. 20 Les modèles d'activité d'utilisateur, liés à un élément spécifique, 26 associés à ces éléments sont adaptés en fonction de la valeur de ces trois éléments exemplaires extraits. L'origine de l'activité de l'utilisateur peut être modélisée en associant des probabilités de régions géographiques, c'est-à-dire des pays, des districts, ou autres selon la fréquence à laquelle l'utilisateur effectue une activité provenant de ces régions, par exemple lorsque l'utilisateur envoie une requête à partir d'une ville particulière. 25 L'horodatage des connexions de l'utilisateur peut être modélisé par une fonction de distribution, par exemple un modèle de mélange Gaussien de ces horodatages, comme le montre la fig. 5. Les durées anticipées de session sont modélisées, par exemple, en mappant les durées de session calculées aux valeurs de moyenne des durées de session, en dérivant un quantile supérieur de durées de session après avoir trouvé une probabilité de distribution des durées de session, etc. 30 Ces modèles d'activité d'utilisateur, liés à un élément spécifique, 26, sont adaptés aux nouvelles valeurs d'éléments acquises (les valeurs d'éléments extraites de données de log 60') en modifiant des ensembles de données existants et en dérivant de nouvelles distributions sur la base de nouveaux ensembles de données. Le résultat consiste en trois modèles adaptés d'activité d'utilisateur, liés à un élément 35 spécifique, 26, dans la fig. 3a, indiqués par les cases « UBM 1 », « UBM 2 », et « UBM 3 ». Ces modèles d'activité d'utilisateur, liés à un éléMent spécifique, 26, sont utilisés comme apport pour 5 10 15 3047594 31 le moteur d'évaluation de risque 21, montré dans la fig. 1. Le moteur d'évaluation de risque 21 compare les activités en cours effectuées par l'utilisateur lors d'une session utilisateur avec les modèles d'activité d'utilisateur, liés à un élément spécifique, 26. Cette comparaison permet de générer un chiffre indiquant une probabilité que l'activité de l'utilisateur actuel ne soit pas réellement effectuée par l'utilisateur à qui le modèle d'utilisateur 25 appartient et donc la probabilité d'une fraude. Ces nombres sont les valeurs d'évaluation de risque lié à un élément spécifique 70 ; un pour les horodatages de connexion (info temps 82), un pour l'origine des activités (origine 85) et un autre pour les durées des sessions (durée 83). Ces nombres sont typiquement normalisés entre 0 et 1. 10 Ces valeurs d'évaluation de risque lié à un élément spécifique 70 sont combinées 67 par une technique MCDA pour obtenir une valeur totale d'évaluation de risque 71. Par exemple, une moyenne ordonnée doublement pondérée (WOWA) est utilisée où la valeur d'évaluation de risque lié à un élément spécifique 70 associée aux origines des activités de l'utilisateur et la valeur d'évaluation de risque lié à un élément spécifique 70, associée aux horodatages de connexion sont pondérées à un niveau deux fois 15 plus élevé que la valeur d'évaluation de risque lié à un élément spécifique 70, associée avec la durée des sessions. Un diagramme bloc schématique d'une méthode exemplaire de surveillance de l'authenticité d'un utilisateur avec une seule valeur d'évaluation de risque lié à un élément spécifique 70 pour chaque 20 élément et une combinaison à deux étapes des valeurs d'évaluation de risque lié à un élément spécifique 70 en utilisant les techniques MCDA, est représenté dans la fig. 3b. Comme illustré par la fig. 3a, les modèles d'activité d'utilisateur, liés à un élément spécifique, 26 sont modélisés à partir des éléments extraits. 25 Comme indiqué par les flèches connectées par une barre commune qui conduit à une pluralité de valeurs d'évaluation de risque lié à un élément spécifique 70, chaque valeur d'évaluation de risque lié à un élément spécifique 70 associée avec un modèle d'activité d'utilisateur, lié à un élément spécifique, 26 est calculée par le moteur d'évaluation de risque 17. Dans la méthode exemplaire illustrée par la fig. 3 b, les valeurs d'évaluation de risque lié à un élément spécifique 70 sont précombinées aux valeurs 30 d'évaluation de risque 70', par exemple des sous-groupes de valeurs d'évaluation de risque lié à un élément spécifique 70 liées de façon fonctionnelle. Par exemple, une valeur d'évaluation de risque lié à un élément spécifique 70, associée avec l'information spécifique au client, telle que le système d'exploitation utilisé et une valeur d'évaluation de risque lié à un élément spécifique 70, associée avec le navigateur web utilisé et le type d'ordinateur utilisé (tablette, ordinateur utilisé (comprimé, ordinateur 35 personnel, etc.) sont précombinées, grâce à une moyenne ordonnée pondérée, à une valeur précombinée d'évaluation de risque 70', associée avec l'information client (info eliese 44), comme le montre la Fig. 4. Par ailleurs et à titre d'exemple, la valeur d'évaluation de risque lié à un élément spécifique70, associée 3047594 32 avec les origines de l'activité de l'utilisateur (origines 85) et la valeur d'évaluation de risque lié à un élément spécifique 70, associée avec le bureau ou l'identifiant d'entreprise sont précombinées avec l'origine et le bureau en utilisant une intégrale de Choquet. Une troisième valeur d'évaluation de risque 70', associée avec les heures de connexion spécifique de l'utilisateur et les durées de session est obtenue en calculant une moyenne pondérée de la valeur (s) d'évaluation de risque lié à un élément spécifique 70, associée avec les heures de connexion et la valeur d'évaluation de risque à élément spécifique 70, associée à la durée de la session. Ces trois valeurs exemplaires précombinées d'évaluation de risque 70' sont combinées 68 à une valeur 10 totale d'évaluation de risque 71 par une technique MCDA tel qu'une moyenne ordonnée doublement pondérée. Un diagramme bloc schématique d'une méthode exemplaire de surveillance de l'authenticité d'un utilisateur, avec deux valeurs d'évaluation de risque lié à un élément spécifique 70 résultant de deux 15 modèles différents d'activité d'utilisateur, liés à un élément spécifique, 26 pour chaque élément est une combinaison à deux étapes des valeurs d'évaluation de risque lié à un élément spécifique 70, en utilisant la technique MCDA est illustré par la fig. 3c. Dans la méthode exemplaire montrée dans la fig. 3c, les valeurs d'évaluation de risque lié à un élément 20 spécifique 70 sont obtenues en appliquant différentes méthodes statistiques et/ou modèles d'évaluation (dans le contexte de la fig. 3c aussi dénommés comme modèles d'activité d'utilisateur, liés à un élément spécifique, 26) à certains éléments extraits. Par exemple, une valeur d'évaluation de risque lié à un élément spécifique 70 est obtenue en calculant la différence entre une durée de session actuelle (extraite) avec une valeur moyenne des durées des 100 dernières sessions, alors qu'une autre valeur d'évaluation 25 de risque lié à un élément spécifique 70 est obtenue en comparant la durée de session extraite à une médiane de durée, par exemple en calculant la différence entre la durée de la session en cours et la médiane, et la direction de la déviation par rapport à la médiane (vers des valeurs plus élevées ou à des valeurs plus basses). Ces deux valeurs d'évaluation de risque lié à un élément spécifique70 pour la durée de session sont précombinées avec une valeur précombinée d'évaluation de risque lié à un élément 30 spécifique 70', associée avec la durée de session (comparer à la durée de fonction 83). Par exemple, les séquences d'action sont aussi mappées par deux modèles différents d'évaluation de risque, liés à un élément spécifique 26 à deux valeurs d'évaluation de risque lié à un élément spécifique 70 qui y sont associées. Une valeur d'évaluation de risque lié à un élément spécifique 70 pourrait être obtenue en prenant le complément d'une probabilité Markov de la séquence d'actions alors qu'une valeur 35 d'évaluation de risque lié à un élément spécifique 70 pourrait être obtenue par une technique basée sur la similarité, c'est-à-dire en calculant la différence entre un vecteur d'éléments contenant les actions successives actuellement extraites et un centroïde de vecteurs d'éléments précédents d'actions 3047594 33 successives. Ces deux valeurs d'évaluation de risque lié à un élément spécifique 70 associées avec la séquence d'actions sont précombinées, c'est-à-dire par une intégrale de Choquet, en une valeur précombinée d'évaluation de risque 70'. Par exemple, les origines des activités de l'utilisateur sont mappées à deux valeurs d'évaluation de risque lié à un élément spécifique 70 qui sont obtenues en 5 utilisant deux techniques de modélisation différentes. Un modèle représentant un centroïde des 100 dernières origines des requêtes de l'utilisateur (désigné dans les présentes comme des modèles d'activité d'utilisateur, liés à un élément spécifique, 26) est utilisé, par exemple, pour calculer les différences entre une origine en cours (extraite) de l'activité de l'utilisateur et un centroïde des 100 dernières origines des requêtes de l'utilisateur (représentant les activités de l'utilisateur) qu'il mappe à une valeur d'évaluation 10 de risque lié à un élément spécifique70. Un autre modèle compare par exemple l'origine (extraite) actuelle avec une distribution statistique des origines des activités de l'utilisateur et obtient la valeur d'évaluation de risque lié à un élément spécifique70 comme complément de la probabilité de l'origine actuelle selon la distribution statistique. Ces deux valeurs d'évaluation de risque lié à un élément spécifique 70 sont précombinées par exemple à une valeur d'évaluation de risque 70' par une moyenne 15 pondérée. Les valeurs précombinées d'évaluation de risque 70' sont ensuite combinées 68 pour obtenir une valeur totale d'évaluation de risque 71. Les valeurs individuelles précombinées d'évaluation de risque 70 peuvent aussi être pondérées avant la combinaison 68. 20 Une combinaison exemplaire de valeurs d'évaluation de risque lié à un élément spécifique 70 et/ou de valeurs précombinées d'évaluation de risque 70' à une valeur totale d'évaluation de risque 71 est illustrée par la fig. 4. 25 Une valeur d'évaluation de risque lié à un élément spécifique 70, associée à une séquence d'actions (activité 80), est déterminée. Une valeur précombinée d'évaluation de risque 70', associée avec l'info utilisateur 81 (identifiant de bureau, identifiant d'entreprise, etc.) est déterminée par une moyenne ordonnée pondérée des valeurs d'évaluation de risque lié à un élément spécifique 70 associées à l'identifiant de bureau, l'identifiant d'entreprise, et le pays. Par ailleurs, une valeur d'évaluation de 30 risque lié à un élément spécifique 70, associée avec l'info temps 82, représentant dans cet exemple les heures de connexion, ainsi qu'une valeur d'évaluation de risque lié à un élément spécifique 70 associée avec la durée 83, représentant dans cet exemple la durée des sessions sont déterminées. Une autre moyenne ordonnée pondérée des valeurs d'évaluation de risque lié à un élément spécifique70 associée au système d'exploitation et au navigateur internet des clients, est déterminée. Cette moyenne ordonnée 35 pondérée est une valeur précombinée d'évaluation de risque 70', associée avec l'info client 84. Une autre valeur d'évaluation de risque lié à un élément spécifique 70, associée avec les origines des activités de l'utilisateur (origines 85), est aussi déterminée. 3047594 34 Les valeurs d'évaluation de risque lié à un élément spécifique 70 mentionnées ci-dessus et les valeurs d'évaluation de risque précombinées 70' sont combinées à une valeur totale d'évaluation de risque 71 par une moyenne ordonnée doublement pondérée de ces valeurs. La position des valeurs d'évaluation 5 de risque lié à un élément spécifique 70 et des valeurs précombinées d'évaluation de risque 70' de cette moyenne ordonnée doublement pondérée est indiquée par des lettres sous les flèches pointant vers la moyenne ordonnée doublement pondérée. Par conséquent la valeur d'évaluation de risque lié à un élément spécifique 70, associée avec l'activité 80 étiquetée « a » est le premier opérande de la moyenne ordonnée doublement pondérée et la valeur précombinée d'évaluation de risque 70', associée avec l'info 10 client 84, étiquetée «e », est le dernier opérande de cette moyenne ordonnée doublement pondérée. Un modèle de mélange Gaussien d'une probabilité de distribution des horodatages des activités de l'utilisateur est procuré par la fig. 5. Le modèle de mélange Gaussien est un exemple de modèle d'activité d'utilisateur, lié à un élément spécifique, 26 associé avec les horodatages des activités de 15 l'utilisateur. L'activité de l'utilisateur exemplaire évaluée dans le diagramme de la fig. 5 est un temps de connexion, à savoir le moment précis dans le temps pendant lequel l'utilisateur se connecte au serveur d'application 1. Le diagramme illustré par la fig. 5 est un diagramme de l'horodatage par rapport à la probabilité. L'axe 20 de temps couvre 24 heures au total. La probabilité qu'un utilisateur se connecte dans un certain intervalle de 0,5 h, par exemple 20 h et 20 h 30, est illustrée par les barres de la fig. 5. Un modèle de mélange Gaussien consistant par exemple d'un mélange de 10 distributions Gaussiennes avec des valeurs attendues différentes et des déviations standard différentes, ajustées aux barres, est représenté par la courbe en pointillés qui passe sur les barres. 25 Une connexion actuelle dans l'intervalle de temps 14 h et 14 h 30 est désignée par une marque connectée à l'axe d'horodatage et à l'axe de probabilité dans la courbe de mélange Gaussien. Par conséquent, une probabilité de 0,05 est associée à cette connexion. Le complément de cette probabilité (0,95) peut être utilisé par exemple, comme la valeur d'évaluation de risque lié à un élément spécifique 70 associée 30 avec les horodatages, c'est-à-dire les heures de connexion de l'utilisateur. Un modèle exemplaire de chaîne Markov d'une séquence d'actions (80) des activités effectuées par l'utilisateur est illustré par la fig. 6. Quatre états différents correspondant aux activités exemplaires effectuées par l'utilisateur, sont représentés par des formes quadratiques «A », « B », « C » et «D ». Les 35 transitions entre ses états sont indiquées par des flèches pointant d'un état à un autre. Trois probabilités de transition exemplaires c'est-à-dire la probabilité qu'une transition particulière soit en cours, à savoir 3047594 35 « PA,B « PD, c », et « PD, D» sont étiquetées respectivement sous les flèches illustrant les transitions. Ces probabilités de transition, peuvent être par exemple, « PA,B » = 0.2, « PD,C » = 0.4, et « PD,13 » = 0.1. L'état « D » peut être par exemple, une entrée de mot de passe de l'utilisateur lorsqu'il se connecte à une application, telle qu'une application de réservation. Une probabilité de transition de l'état « D » de retour vers l'état « D » correspond donc à la probabilité que le même utilisateur rentre son mot de passe à nouveau, par exemple, à cause d'une faute de frappe. L'état «A », par exemple, peut représenter un changement de mot de passe, alors que l'état «C » peut représenter un changement de nom d'utilisateur. L'état «B » peut représenter une demande d'envoi de mot de passe de l'utilisateur à l'adresse e-mail 10 enregistrée de l'utilisateur. La somme de toutes les probabilités de transition d'un état à un autre ou plusieurs autres états ou de retour à l'état lui-même est unité. La probabilité d'un certain cheminement des états, par exemple de l'état « D » à l'état « A » par l'intermédiaire de l'état «C » est donnée par le produit des probabilités de transitions individuelles « D » 15 à « C » et « C » à « A ». Un organigramme d'un déroulement exemplaire d'un processus de la méthode exemplaire de surveillance de l'authenticité d'un utilisateur est illustré par la Fig. 7. Les formes rectangulaires en pointillés, qui entourent différentes étapes du processus décrit (voir les étapes 100, 102, 103, 104, 107, 20 et 109), représentent un serveur sur lequel les étapes respectives sont effectuées. À l'étape 100, les activités de l'utilisateur sur le serveur 1 sont enregistrées dans un enregistrement de log 60. Les données de log6O'comprenant les activités de l'utilisateur sont poussées du serveur d'application 1 au serveur de modèles d'utilisateur 2, comme l'indique l'étape 101. Sur le serveur de modèles d'utilisateur 2, trois étapes différentes sont effectuées, à savoir les étapes 102, 103 et 104, comme indiqué par la forme 25 rectangulaire en pointillés étiquetée «2 ». Dans l'étape 102, les éléments sont extraits des données de log 60' et dans l'étape 103 un modèle d'utilisateur existant 25 est mis à jour en incluant les éléments nouvellement extraits dans le modèle d'utilisateur 25. Le moteur d'évaluation de risque 21 est également adapté dans l'étape 104 en changeant le poids de valeurs particulières d'évaluation de risque lié à un élément spécifique 70 dans une formule de calcul de la valeur totale d'évaluation de risque 71, selon les 30 éléments nouvellement acquis. Cela est accompli par exemple, en diminuant le poids de la valeur d'évaluation de risque lié à un élément spécifique devant être déterminée (côté application) associée avec le système d'exploitation lorsque les valeurs des éléments extraits indiquent que l'ordinateur client a été changé. 35 Comme indiqué par les étapes 105 et 106, le modèle d'utilisateur adapté 25 et le moteur évaluation de risque adapté 21 sont copiés à partir du serveur de modèles d'utilisateur 2 sur le serveur d'application 1. Sur le serveur d'application 1, l'activité en cours de l'utilisateur est conservée dans un log et les valeurs 3047594 36 d'éléments associés à ces activités sont comparées avec les modèles respectifs d'activité d'utilisateur, liés à un élément spécifique, 26 par le moteur d'évaluation de risque 21 dans l'étape 107. Le résultat de cette comparaison des valeurs d'évaluation de risque lié à un élément spécifique 70 est obtenu et combiné à une valeur d'évaluation de risque 71, en utilisant une technique MCDA. Dans l'étape 108, la 5 valeur totale d'évaluation de risque 71 est comparée avec un seuil donné obtenu à partir de l'antétnémoire de règles 12 (illustré dans la Fig. 1). Tant que la valeur totale d'évaluation de risque 71 ne dépasse pas le seuil donné pendant une session d'utilisateur, la méthode de surveillance de l'authenticité d'un utilisateur continue en effectuant les étapes 100 à 108 à la fin de la session d'utilisateur. Lorsque la valeur totale d'évaluation de risque 71 dépasse un seuil donné pendant une 10 session d'utilisateur, l'exécution d'une action corrective 72 est demandée par un module de contrôle d'accès 14 sur le serveur d'application 1. Sur ce, l'action corrective 72 est effectuée par le module d'action corrective 34 sur le serveur de connexion et de sécurité 3. Selon le seuil spécifique qui a été dépassé par la valeur totale d'évaluation de risque 71, une des actions correctives 72 suivantes est sélectionnée : (i) la fermeture de la session de l'utilisateur (ii) une demande d'une authentification basée 15 sur deux critères (iii) le verrouillage de l'utilisateur, et (iv) le déclenchement d'une fonction d'alerte. Un profit utilisateur illustrant une pluralité de modèles d'activité d'utilisateur, liés à un élément spécifique, 26 produisant une probabilité de fraude, est illustré par la fig. 8. Dans le profil d'utilisateur présenté par la fig. 8, diverses valeurs d'éléments et de probabilité pour certaines valeurs d'éléments 20 sont affichées. Dans une première section du profil de l'utilisateur, une valeur d'évaluation de risque 70 de 0,87, associée avec une séquence d'actions est affectée à une première séquence d'actions, à savoir « Rechercher utilisateur » « Afficher utilisateur » « Fermer onglet », alors qu'une valeur d'évaluation de 25 risque élément spécifique 70 de 0,52 est affectée à une seconde séquence d'actions, à savoir : « Afficher application » -->« GérerAppRole ». Dans une seconde section du profil de l'utilisateur, les probabilités associées avec les origines 85 des activités de l'utilisateur sont affichées. La probabilité qu'une activité de cet utilisateur particulier soit 30 émise à partir de la France est de 100 %. La probabilité que la source IP pour cet utilisateur soit 172.16.252.183 est donnée à 81 %. Dans une troisième section du profil de l'utilisateur, les probabilités associées avec l'ordinateur client utilisé sont listées. La probabilité qu'un système d'exploitation Windows 7® soit utilisé est donnée à 35 100 %. La probabilité que le navigateur Internet Explorer 941) soit utilisé par l'utilisateur est donnée à 95 %, alors que la probabilité que Firefox 3® soit utilisé comme navigateur Internet est donnée à 5 %. Par ailleurs, la probabilité que l'agent-utilisateur soit Mozilla/4.0® [compatible ; MSIE 7.0 ...] obtenue 3047594 37 est de 95 %. Dans une quatrième section du profil de l'utilisateur, les données des durées de session de l'utilisateur sont données. La durée moyenne de session est de 18 min, la médiane de la durée de session est 8 min, 5 et également, le temps pendant lequel la durée de session est dans le quantile supérieur [proche des 75 % d'une probabilité de distribution représentant les durées de session], sont obtenus et stockés dans le profil de l'utilisateur. Dans une cinquième section du profil de l'utilisateur, les probabilités pour certains identifiants de bureau 10 et d'entreprises sont obtenues et stockées. La probabilité que les activités de l'utilisateur aient comme identifiant de bureau « NCE1A0995 » est de 80 %, alors que la probabilité que les activités de l'utilisateur ont comme identifiant de bureau « NCE1A0955 » est de 20 %. La probabilité que les activités de l'utilisateur soient associées avec l'entreprise « lA » est de 100 %. 15 En tout, lorsque le profil de l'utilisateur est comparé avec les activités de l'utilisateur en cours et qu'il est évalué, par exemple le profil de l'utilisateur donne une valeur totale d'évaluation de risque 71 de 0,92 [risque élevé] pour la date 2015-01-12 à 3 h 14 min 10 s. Une représentation schématique d'un système informatique exemplaire 500 est montrée dans la fig. 9. 20 Le système informatique 500 est agencé pour exécuter un ensemble d'instructions 510, qui amènent le système informatique 500 à effectuer l'une des méthodologies utilisées pour la méthode de surveillance de l'authenticité d'un utilisateur pendant les activités de l'utilisateur lors d'une session de l'utilisateur sur au moins un serveur d'application 1, comme cela a été décrit dans les présentes. Le serveur d'application 1, le serveur de modèles d'utilisateur 2, le serveur de connexion et de sécurité 3, et le 25 serveur de règles sont réalisés sur l'exemple du système informatique 500. Le système informatique 500 comprend un processeur 502, une mémoire principale 504 et une interface de réseau 508. La mémoire principale 504 comprend un espace d'utilisateur 504' qui est associé avec les applications exécutées par l'utilisateur, et un espace noyau 504" qui est réservé pour un système 30 d'exploitation et les applications associées au matériel. Le système informatique 500 inclut par ailleurs une mémoire statique 506, par exemple flash non amovible et/ou un disque électronique et/ou une carte SD micro ou mini amovible, qui stocke de façon permanente le logiciel qui permet au système informatique 500 d'exécuter des fonctions du système informatique 500. Par ailleurs, il peut inclure un affichage vidéo 503, un module d'interface utilisateur de contrôle 507 et/ou un dispositif d'entrée 35 alphanumérique et un dispositif de curseur et d'entrée alphanumérique 505. En option, des interfaces supplémentaires d'I/0 509, tels que des interfaces de lecteur de carte et USB peuvent être présents. Les composants du système informatique 502 à 509 sont interconnectés par un bus de données 501. 3047594 38 Dans certains modes de réalisation exemplaires, le logiciel programmé pour effectuer la méthode décrite dans les présentes est stocké dans la mémoire statique 506 ; dans d'autres modes de réalisation exemplaires, des bases de données externes sont utilisées. Un ensemble d'instructions exécutables [par exemple le logiciel] 510 faisant partie de l'une ou de toutes les méthodologies présentées ci-dessus, réside entièrement ou au moins partiellement, de façon permanente dans la mémoire non volatile 506. Pendant l'exécution, les données du processus résident dans la mémoire principale 504 et/ou dans le processeur 502. 10 REVENDICATIONS: 1. Une méthode de surveillance de l'authenticité d'un utilisateur pendant les activités de l'utilisateur lors des sessions de l'utilisateur sur au moins un serveur d'application, la méthode étant effectuée par un ou plusieurs processeurs qui exécutent des instructions stockées sur une mémoire non volatile, les instructions lorsqu'elles sont exécutées amènent le processeur (s) à : effectuer un processus de modélisation de l'utilisateur dans lequel un modèle d'utilisateur existant est adapté aux activités de l'utilisateur session par session, le modèle d'utilisateur comprenant une pluralité de modèles adaptatifs d'activité d'utilisateur, liés à un élément spécifique, les modèles d'activité d'utilisateur, liés à un élément spécifique, étant associés à des éléments indicatifs de l'activité de l'utilisateur, dans laquelle le modèle d'utilisateur est adapté sur un serveur de modèles d'utilisateur sur la base de l'activité de l'utilisateur associée avec différentes applications sur le serveur d'application, dans laquelle le modèle d'utilisateur est répliqué à partir du serveur de modèles d'utilisateur sur le serveur d'application, effectuer un processus de vérification de l'utilisateur comprenant : la détermination d'une pluralité de valeurs d'évaluation de risque lié à un élément spécifique, où la détermination d'une valeur d'évaluation de risque lié à un élément spécifique dans la pluralité de valeurs d'évaluation de risque lié à un élément spécifique comprend la comparaison d'au moins un modèle adaptatif d'activité d'utilisateur, lié à un élément spécifique, avec un élément respectif extrait d'au moins une activité lors d'une session d'utilisateur sur le serveur d'application, dans laquelle la dernière activité de l'utilisateur est enregistrée dans un log et les éléments extraits du log sont comparés avec au moins un modèle d'activité d'utilisateur lié à un élément spécifique par un moteur d'évaluation de risque, dans laquelle le moteur d'évaluation de risque, qui réside aussi sur le serveur de modèles d'utilisateur, est adapté aux modèles d'activité d'utilisateur, liés à un élément spécifique et le moteur d'évaluation de risque adapté est copié sur le réseau à partir du serveur de modèles d'utilisateur sur le serveur d'application, la détermination d'une valeur totale d'évaluation de risque indicative de la non-authenticité de l'utilisateur, où la détermination d'une valeur totale d'évaluation de risque comprend a) la pondération et la combinaison de la pluralité de valeurs d'évaluation de risque lié à un élément spécifique, ou b) la pondération et la combinaison de valeurs précombinées d'évaluation de risque étant déterminées par la combinaison d'une portion de la pluralité de valeurs d'évaluation de risque lié à un élément spécifique en utilisant l'analyse de décision à critères multiples [MCDA1, dans laquelle la valeur totale de risque est déterminée 3047594 sur le serveur d'application en utilisant le modèle d'utilisateur répliqué et le moteur d'évaluation de risque copié, lorsque la valeur totale d'évaluation de risque dépasse un certain seuil, la mise en oeuvre d'une action corrective, comprenant au moins une des actions suivantes : (i) la fermeture 5 de session de l'utilisateur (ii) une demande d'authentification basée sur deux critères (iii) le verrouillage de l'utilisateur, et (iv) le déclenchement d'une fonction d'alerte. 2. La méthode selon la revendication 1, dans laquelle le modèle d'activité de l'utilisateur comprend des modèles adaptatifs, liés à un élément spécifique qui sont spécifiques aux différentes 10 applications. 3. La méthode selon l'une quelconque des revendications 1 à 2, dans laquelle la pluralité des éléments extraits à partir de l'activité de l'utilisateur lors de la session de l'utilisateur, comprend au 15 moins une des données suivantes : origines de l'activité de l'utilisateur, horodatages des activités, durées de session dans lesquelles les activités sont effectuées et au moins une des informations suivantes : l'info client, l'info bureau, et l'info entreprise. 4. La méthode selon la revendication 3, dans laquelle un modèle d'activité d'utilisateur, lié à un 20 élément spécifique, associé aux horodatages des actions, comprend un modèle de mélange Gaussien des horodatages de l'activité de l'utilisateur. 5. La méthode selon les revendications 3 ou 4, dans laquelle le calcul des valeurs d'évaluation de risque lié à un élément spécifique est associé avec les horodatages des activités de l'utilisateur 25 comprenant l'évaluation d'un complément de probabilité des horodatages, extrait à partir des actions de l'utilisateur, le complément étant pris à partir du modèle de mélange Gaussien. 6. La méthode selon la revendication 3, dans laquelle le modèle d'activité d'utilisateur, lié à un élément spécifique, caractérisant la durée des sessions de l'utilisateur mappe la durée des sessions de 30 l'utilisateur à au moins l'une des données suivantes : (i) la moyenne mobile (ii) la médiane (iii) la déviation standard de la durée de session de l'utilisateur, et (iv) le quantile de la durée des sessions de l'utilisateur. 7. La méthode selon la revendication 6, dans laquelle le calcul de la valeur d'évaluation de risque 35 lié à un élément spécifique associé avec la durée des sessions de l'utilisateur comprend le calcul de la différence entre la durée d'une session de l'utilisateur et au moins l'une des valeurs suivantes: (i) la moyenne mobile, (ii) la médiane des durées des sessions de l'utilisateur, et/ou la comparaison de la 3047594 41 durée d'une session de l'utilisateur avec des intervalles de confiance donnés par des multiples de la déviation standard. 8. La méthode selon la revendication 1 ou 2, dans laquelle les éléments reflétant l'activité de 5 l'utilisateur comprennent une séquence d'actions effectuées par l'utilisateur. 9. La méthode selon la revendication 8, dans laquelle le modèle d'activité d'utilisateur, lié à un élément spécifique, qui caractérise la relation entre les actions individuelles de la séquence d'actions, est un modèle de chaîne Markov. 10 10. La méthode selon la revendication 9, dans laquelle le calcul de la valeur d'évaluation de risque lié à un élément spécifique associé avec la séquence d'actions effectuées par l'utilisateur comprend la détermination d'un complément de la probabilité Markov d'une séquence d'actions données extraites à partir des activités de l'utilisateur. 15 11. La méthode de l'une quelconque des revendications I à 10, dans laquelle la combinaison des valeurs d'évaluation de risque lié à un élément spécifique comprend la pondération des valeurs d'évaluation selon leur probabilité respective de fraude. 20 12. La méthode selon la revendication 11, dans laquelle les valeurs d'évaluation de risque lié à un élément spécifique sont combinées à la valeur totale d'évaluation de risque en utilisant l'analyse de décision à critères multiples (MCDA), l'analyse de décision à critères multiples comprenant la détermination d'au moins une moyenne ordonnée doublement pondérée, une moyenne ordonnée pondérée et une intégrale floue de ces valeurs. 25 13. La méthode selon l'une quelconque des revendications 1 à 12, dans laquelle en réponse à la détection d'un certain modèle d'élément, quelle que soit la valeur totale du risque évalué, au moins l'une des actions suivantes est effectuée : une demande d'authentification basée sur deux critères, le verrouillage de l'utilisateur, la fermeture de session de l'utilisateur et le déclenchement d'une fonction 30 d'alerte. 14. Un système de serveur comprenant au moins un processeur et au moins une mémoire non volatile comprenant au moins un programme informatique contenant des instructions exécutables pour la surveillance de l'authenticité d'un utilisateur pendant les activités de l'utilisateur lors de sessions de 35 l'utilisateur sur au moins un serveur d'application, les instructions exécutables, lorsqu'elles sont exécutées par au moins un processeur amènent ledit processeur à: 3047594 42 effectuer un processus de modélisation de l'utilisateur dans lequel un modèle d'utilisateur existant est adapté aux activités de l'utilisateur session par session, le modèle d'utilisateur comprenant une pluralité de modèles adaptatifs d'activité d'utilisateur, liés à un élément spécifique, les modèles d'activité d'utilisateur, liés à un élément spécifique, étant associés à des éléments indicatifs de l'activité 5 de l'utilisateur, dans laquelle le modèle d'utilisateur est adapté sur un serveur de modèles d'utilisateur sur la base de l'activité de l'utilisateur associée avec différentes applications sur le serveur d'application, dans laquelle le modèle d'utilisateur est répliqué à partir du serveur de modèles d'utilisateur sur le serveur d'application, effectuer un processus de vérification de l'utilisateur comprenant 10 - la détermination d'une pluralité de valeurs d'évaluation de risque lié à un élément spécifique, où la détermination de valeurs d'évaluation de risque lié à un élément spécifique de la pluralité des valeurs d'évaluation de risque lié à un élément spécifique comprend la comparaison d'au moins un modèle adaptatif d'activité d'utilisateur, lié à un élément spécifique, avec un élément respectif extrait d'au moins une activité de 15 l'utilisateur lors une session de l'utilisateur sur le serveur d'application, associée avec au moins ledit élément, dans laquelle la dernière activité de l'utilisateur est enregistrée dans un log et les éléments extraits du log sont comparés avec au moins un modèle d'activité d'utilisateur lié à un élément spécifique par un moteur d'évaluation de risque, dans laquelle le moteur d'évaluation de risque, qui réside aussi sur le serveur de modèles 20 d'utilisateur, est adapté aux modèles d'activité d'utilisateur, liés à un élément spécifique et le moteur d'évaluation de risque adapté est copié sur le réseau à partir du serveur de modèles d'utilisateur sur le serveur d'application, - la détermination d'une valeur totale d'évaluation de risque indicative de l'authenticité de l'utilisateur, où la détermination d'une valeur totale d'évaluation de risque comprend 25 a) la pondération et la combinaison de la pluralité de valeurs d'évaluation de risque lié à un élément spécifique, ou b) la pondération et la combinaison de valeurs précombinées d'évaluation de risque, les valeurs précombinées étant déterminées par la combinaison d'une portion de la pluralité des valeurs d'évaluation de risque lié à un élément spécifique en utilisant 30 l'analyse de décision à critères multiples, dans laquelle la valeur totale de risque est déterminée sur le serveur d'application en utilisant le modèle d'utilisateur répliqué et le moteur d'évaluation de risque copié, - lorsque la valeur totale d'évaluation de risque dépasse un seuil donné, la mise en oeuvre d'une action corrective, comprenant au moins l'une des actions suivantes : (i) la fermeture 35 de session de l'utilisateur (ii) une demande d'authentification basée sur deux critères (iii) le verrouillage de l'utilisateur, et (iv) le déclenchement d'une fonction d'alerte. 3047594 43 15. Un programme d'ordinateur comprenant des instructions de code de programme pour l'exécution des étapes du procédé selon un des revendications 1 à 13, lorsque ledit programme est exécuté sur le système serveur selon la revendication 14.