Brevet FR3047595A1 — publié le 20170811

SURVEILLANCE DE L'AUTHENTICITÉ DE L'UTILISATEUR DANS UN SYSTÈME DISTRIBUÉ PORTÉE DE L'INVENTION L'invention relève du domaine de la surveillance de l'authenticité d'un l'utilisateur pendant les activités de l'utilisateur sur au moins un serveur d'application. CONTEXTE 10 WO 2006 118 968 A2 décrit une méthode permettant aux fournisseurs de services d'identifier de possibles transactions frauduleuses, sur la base de l'analyse historique des données de l'utilisateur et du dispositif avec un ensemble de règles prédéterminées. L'analyse des données de l'utilisateur comprend l'analyse de modèles d'activité par comparaison avec des règles prédéfinies. Un moteur d'évaluation de 15 risque avec un modèle de pondération basé sur des règles détermine si le modèle d'activité est frauduleux ou non. US 2013/0104203 Al décrit une méthode pour déterminer un niveau d'authentification associé à un utilisateur, sur la base d'une empreinte comportementale. 20 RÉSUMÉ DE L'INVENTION Selon un premier aspect, une méthode de surveillance de l'authenticité d'un l'utilisateur pendant l'activité de l'utilisateur lors des sessions de l'utilisateur sur au moins un serveur d'application, est procurée. La 25 méthode étant effectuée de façon distribuée au moyen d'un système de serveur distribué, le système de serveur distribué comprenant au moins un serveur d'application et un serveur de modèles d'utilisateur. Les serveurs d'application et de modèles d'utilisateur comprenant au moins un processeur et au moins une mémoire non volatile comprenant au moins un programme informatique contenant des instructions exécutables. La méthode étant effectuée par les processeurs exécutant les instructions, dans laquelle les 30 instructions amènent les processeurs à : effectuer un processus de modélisation de l'utilisateur dans lequel le modèle d'utilisateur est adapté aux activités de l'utilisateur, session par session, effectuer un processus de vérification de l'utilisateur comprenant : - la comparaison du modèle de l'utilisateur avec de éléments extraits des activités de 35 l'utilisateur lors de la session de l'utilisateur sur le serveur d'application, - la détermination d'une valeur totale d'évaluation de risque sur la base de la comparaison, 3047595 2 - lorsque la valeur totale d'évaluation de risque dépasse un seuil donné, la mise en oeuvre d'une action corrective comprenant au moins l'une des actions correctives suivantes : (i) la fermeture de session de l'utiffsateur (ri) une demande d'authentification basée sur deux critères (iii) le verrouillage de l'utilisateur, et (iv) le déclenchement d'une fonction d'alerte. le transfert des données de l'activité relative à l'utilisateur à partir d'au moins un serveur d'application sur au moins un serveur de modèles d'utilisateur ; le transfert des données d'un modèle d'utilisateur adapté à partir d'au moins un serveur de modèles d'utilisateur sur au moins un serveur d'application ; le processus de modélisation d'utilisateur étant effectué sur au moins un serveur de modèles d'utilisateur, dans lequel un modèle d'utilisateur est adapté en fonction des données de l'activité de l'utilisateur transférées à partir d'au moins un serveur d'application ; et le processus de vérification d'utilisateur étant effectué sur au moins ledit serveur d'application, dans lequel ledit processus de vérification de l'utilisateur est effectué en utilisant les données adaptées transférées à partir du serveur de modèles d'utilisateur. Selon un second aspect, un système de serveur distribué, le système de serveur distribué comprenant au moins un serveur d'application et au moins un serveur de modèles d'utilisateur, est procuré. Les serveurs d'application et de modèles d'utilisateur comprenant au moins un processeur et au moins une mémoire non volatile comprenant au moins un programme informatique contenant des instructions exécutables pour la méthode de surveillance de l'authenticité d'un utilisateur pendant les activités de l'utilisateur lors d'une session d'utilisateur sur au moins un serveur d'application. La méthode étant effectuée de façon distribuée au moyen du système de serveur distribué, les instructions exécutables, lorsqu'elles sont exécutées sur au moins un processeur des serveurs, amènent ledit processeur à : effectuer un processus de modélisation de l'utilisateur dans lequel le modèle d'utilisateur est adapté aux activités de l'utilisateur, session par session, effectuer un processus de vérification de l'utilisateur comprenant : la comparaison du modèle de l'utilisateur avec des éléments extraits des activités de l'utilisateur lors de-la session de l'utilisateur sur le serveur d'application, la détermination d'une valeur totale d'évaluation de risque surAa base de la comparaison, lorsque la valeur totale d'évaluation de risque dépasse un seuil donné, la mise en oeuvre d'une action corrective comprenant au moins l'une des actions correctives suivantes : (i) la fermeture de session de l'utilisateur (ii) une demande d'authentification basée sur deux critères (iii) le verrouillage de l'utilisateur, et (iv) le déclenchement d'une fonction. - le transfert des données de l'activité de l'utilisateur à partir d'au moins un serveur d'application sur au moins un serveur de modèles d'utilisateur ; - le transfert des données d'un modèle d'utilisateur adapté à partir d'au moins un serveur de modèles d'utilisateur sur au moins un serveur d'application ; 3047595 3 le processus de modélisation d'utilisateur étant effectué sur au moins un serveur de modèles d'utilisateur, où le modèle d'utilisateur est adapté en fonction des données relatives à l'activité de l'utilisateur transférées à partir d'au moins un serveur d'application ; et le processus de vérification d'utilisateur est effectué sur au moins ledit serveur d'application, où 5 le processus de vérification de l'utilisateur est effectué en utilisant les données du modèle d'utilisateur adapté transférées à partir du serveur de modèles d'utilisateur. DESCRIPTION GÉNÉRALE, ET RÉALISATION DES MODES DE RÉALISATION OPTIONNELS 10 Selon un premier aspect, une méthode de surveillance d'authenticité d'un l'utilisateur pendant l'activité de l'utilisateur lors des sessions de l'utilisateur sur au moins un serveur d'application, est procurée. La surveillance de l'authenticité d'un utilisateur lors de sessions de l'utilisateur consiste à vérifier si l'utilisateur enregistré sur le serveur d'application et qui utilise des applications en cours sur celui-ci est 15 vraiment l'utilisateur qu'il ou elle prétend être. Une session d'utilisateur est l'ensemble de toutes les actions consécutives faites par un utilisateur donné après avoir été authentifié dans l'application en utilisant ses justificatifs d'identité (c'est à dire, lors d'une identification), jusqu'à ce que l'utilisateur ferme sa session à l'aide d'une fonctionnalité de dés-authentification procurée par l'application. 20 La méthode étant effectuée d'une façon distribuée au moyen d'un système de serveur distribué. Le système de serveur distribué comprend au moins un serveur d'application et au moins un serveur de modèles d'utilisateur. Au moins un serveur, le serveur d'application est le serveur sur lequel l'application (s) où l'utilisateur effectue des activités est exécutée. Une application peut être exécutée sur chaque 25 serveur d'application ou une pluralité d'applications peut être exécutée sur un serveur d'application unique ou une combinaison de ceux-là. Au moins un serveur, le serveur de modèles d'utilisateur est un serveur équipé de processeur (s) physiquement éloigné (s) du processeur (s) du serveur (s) d'application. Par exemple, un serveur (s) de connexion et de sécurité est (sont) procuré (s) pour accéder au serveur(s) d'application. Au moins un serveur d'application et au moins un serveur de modèles d'utilisateur sont 30 connectés l'un à l'autre sur un réseau, tel qu'Internet. Chacun au moins des deux serveurs comprend au moins un processeur et au moins une mémoire non volatile comprenant au moins un programme informatique contenant des instructions exécutables. La méthode est effectuée par les processeurs exécutant les instructions. Un ou plusieurs processeurs sont 35 par exemple, les processeurs d'un serveur d'application et ceux d'autres serveurs utilisés pour mettre en oeuvre la méthode. Les instructions sont typiquement données par un programme codé exécutable, la 3047595 4 mémoire non volatile est, par exemple, une mémoire morte (ROM), une mémoire programmable à lecture effaçable électriquement (EEPROM) ou une mémoire flash. Les instructions, lorsqu'elles sont exécutées par le processeur(s), amènent le processeur (s) à effectuer 5 un processus de modélisation de l'utilisateur, dans lequel un modèle d'utilisateur existant est adapté session par session aux activités de l'utilisateur. Le termes « processus » par rapport au processus de modélisation d'utilisateur mentionné ci-dessus et « processus de vérification d'utilisateur» renvoient à des sous-méthodes de la méthode de surveillance de l'authenticité d'un utilisateur pendant les activités de l'utilisateur lors des sessions de l'utilisateur comprenant une pluralité de tâches mises en oeuvre par 10 le processeur(s) plutôt que de simples tâches mises en oeuvre par le processeur(s). Le modèle d'utilisateur ne se limite pas uniquement à certaines activités de l'utilisateur, tels que le temps d'accès à une application de réservation sur le serveur d'application ou l'origine géographique de cet accès, c'est-à-dire la France ou la Chine, mais prend plutôt en compte une pluralité de ces 15 caractéristiques. Par exemple, le modèle de l'utilisateur prend également en compte, le type de navigateur internet utilisé pour l'accès et le type de système d'exploitation ou de dispositif client, pour ne nommer que quelques exemples. Le modèle d'utilisateur, de cette façon, reflète une pluralité de caractéristiques d'activités qui peuvent être analysées et mappées à un tel modèle grâce à la méthode décrite dans les présentes. 20 Le modèle d'utilisateur existant qui est adapté peut être basé, par exemple, sur un modèle d'utilisateur qui a été déterminé pendant une phase de formation sur une durée exemplaire de trois mois ou sur un modèle d'utilisateur qui a été prédéfini par un administrateur sur la base de données relatives aux activités de l'utilisateur. L'adaptation du modèle d'utilisateur existant est accomplie session par session. 25 De cette façon, l'adaptation du modèle d'utilisateur peut soit être accomplie en temps réel, par exemple pendant la session de l'utilisateur, soit au début ou à la fin de la session. Quel que soit le cas, le modèle utilisateur est (i) centré sur l'utilisateur, (ii) adaptatif, et (iii) extensible avec la capacité de prendre en compte une nouvelle activité d'utilisateur puisque l'activité de l'utilisateur 30 pourrait aussi changer de temps en temps. La méthode de surveillance de l'authenticité de l'utilisateur pendant les activités de l'utilisateur lors de sessions de l'utilisateur comprend le transfert de données relatives à l'activité de l'utilisateur à partir d'au moins un serveur d'application sur au moins un serveur de modèles d'utilisateur. De cette façon, au 35 moins le serveur de modèles d'utilisateur sert de noeud central pour toutes les données de l'utilisateur à partir de toutes les applications exécutées sur au moins un serveur d'application. Le modèle d'utilisateur est adapté sur ce serveur de modèles d'utilisateur selon les données transférées, relatives à l'activité de 3047595 5 l'utilisateur. La méthode de surveillance de l'authenticité d'un utilisateur pendant les activités de l'utilisateur lors des sessions de l'utilisateur comprend en outre un transfert de données de modèle adapté à partir d'au moins un serveur de modèles d'utilisateur sur au moins un serveur d'application. Les données d'un modèle d'utilisateur adapté signifient, soit un delta entre le modèle d'utilisateur actuellement stocké 5 sur le serveur d'application et le modèle d'utilisateur qui a été adapté sur le serveur de modèles d'utilisateurs, soit simplement le modèle d'utilisateur adapté lui-même. Comme mentionné précédemment, le processus de modélisation de l'utilisateur est effectué sur un serveur de modèles d'utilisateur et le modèle d'utilisateur est adapté en fonction des données relatives à 10 l'activité de l'utilisateur, transférées à partir d'au moins un serveur d'application. Le modèle de l'utilisateur est, par exemple, déterminé et adapté en fonction des données spécifiques à l'utilisateur reçues des logs d'applications qui contiennent des traces complètes des activités de l'utilisateur. Cela peut être fait régulièrement lorsque l'utilisateur a terminé une session, par exemple a 15 posteriori ou par diffusion en temps réel. Les données sont transmises par exemple, à partir des applications sur le serveur de modèles d'utilisateur ou à tout autre moment lorsque la construction et l'adaptation du modèle de l'utilisateur est effectuée. Pour interroger les données de log par exemple, un daenzon est actif sur le noeud de réseau entre le serveur de modèles d'utilisateur et le serveur d'application pour interroger les données de log toutes les 5 à 60 minutes, ou à la fin de la session de l'utilisateur. La 20 transmission de données au serveur de modèles d'utilisateur est accomplie par exemple, par le protocole simple d'administration de réseau (SNMP) au niveau du réseau et au niveau de l'application avec des interfaces C++. Les activités de l'utilisateur peuvent être reconstruites à partir des données de log mentionnées ci-dessus. 25 Ces activités d'utilisateur reconstruites sont analysées par au moins un algorithme d'exploration de données pour extraire les éléments pour les différents modèles adaptatifs d'activité d'utilisateur relatifs à un élément spécifique. Des exemples de ces algorithmes d'exploration de données sont dissimulés dans les modèles de Markov, les machines à vecteurs de support ou les réseaux neuronaux. 30 Le modèle de l'utilisateur comprend, par exemple, les distributions statistiques de modélisation de l'horodatage des connexions d'un utilisateur, ou par exemple, les modèles de chaîne Markov modélisant les séquences d'actions de l'utilisateur. Elles peuvent également contenir des vecteurs d'éléments d'une pluralité d'éléments extraits des activités de l'utilisateur afin d'obtenir un centroïde de ces vecteurs d'éléments et une différence d'un vecteur d'éléments des activités en cours de l'utilisateur, par rapport à 35 ce centroïde. Ces modèles sont adaptés par exemple en recalculant les modèles et en incluant les nouveaux éléments extraits des données nouvellement reçues du log de la session de l'utilisateur. Ces calculs peuvent nécessiter des stockages de données de plusieurs téraoctets ainsi qu'une puissance de 3047595 6 calcul énorme, car ces modèles centrés sur l'utilisateur sont déterminés et adaptés séparément pour chaque utilisateur utilisant l'application (s). Par ailleurs les instructions amènent le processeur à effectuer un processus de vérification d'utilisateur. 5 Le processus de vérification de l'utilisateur comprend la comparaison du modèle de l'utilisateur avec des éléments extraits de l'activité relative à l'utilisateur pendant la session de l'utilisateur sur le serveur d'application. Des parties spécifiques des modèles d'utilisateur, ci-après désignées comme les modèles d'activité d'utilisateur élément spécifique reflètent par exemple, l'activité de l'utilisateur relative à des éléments particuliers. Les parties spécifiques du modèle de l'utilisateur sont comparées par exemple, 10 avec des éléments spécifiques extraits de l'activité de l'utilisateur et associés à ces parties spécifiques, et les déviations sont agrégées afin d'obtenir une déviation totale entre le modèle d'utilisateur et l'activité de l'utilisateur. À titre d'exemple, une déviation entre une heure de connexion actuelle et une partie du modèle de l'utilisateur qui est spécifique aux heures de connexion est combinée avec une déviation entre l'origine actuelle de l'activité de l'utilisateur et une partie du modèle d'utilisateur qui est spécifique à 15 l'origine de l'activité de l'utilisateur, à savoir une classe d'éléments liés aux origines de l'activité de l'utilisateur. Les composants de cette classe d'éléments sont, par exemple, les adresses IP de la requête de l'utilisateur ou la location géographique de l'utilisateur. Alternativement, les activités en cours de l'utilisateur, reflétées par tous les éléments extraits, sont prises 20 dans leur ensemble et comparées dans leur ensemble au modèle d'utilisateur, la comparaison de ces activités peut se faire par exemple avec un modèle de réseau neuronal suffisamment entrainé et adapté. Le processus de vérification d'utilisateur est effectué sur au moins ledit serveur d'application, dans lequel le processus de vérification de l'utilisateur est effectué en utilisant les données du modèle adapté 25 d'utilisateur, transférées à partir du serveur de modèles d'utilisateur. Après avoir été adapté sur le serveur de modèles d'utilisateur, par exemple après une session d'utilisateur, le modèle de l'utilisateur est répliqué sur au moins un serveur d'application par le transfert des données d'un modèle d'utilisateur adapté sur le serveur d'application. Ce transfert peut se faire en copiant la 30 version adaptée du modèle d'utilisateur à partir du serveur de modèles d'utilisateur sur le serveur d'application dans son ensemble ou en copiant seulement le delta entre le modèle d'utilisateur adapté et la version non adaptée du modèle d'utilisateur. Un log est tenu par exemple, sur le serveur (s) d'application, dans lequel les activités en cours de l'utilisateur sont enregistrées. Les activités en cours de l'utilisateur, stockées dans ce log peuvent être comparées au modèle d'utilisateur copié sur le serveur 35 d'application afin d'obtenir la déviation entre ce modèle d'utilisateur le plus à jour et les données actuelles de l'utilisateur. 3047595 La valeur totale d'évaluation de risque est déterminée sur la base de la comparaison de l'activité en cours de l'utilisateur avec le modèle d'utilisateur, ou plus précisément avec la déviation obtenue de cette comparaison. Plus la déviation est élevée, plus la valeur totale d'évaluation de risque est élevée. 5 Une valeur totale d'évaluation de risque qui dépasse un seuil donné est une indication de l'authenticité douteuse de l'utilisateur. Le seuil est fixé, par exemple par un administrateur. Ce seuil peut aussi être choisi d'une manière spécifique à l'utilisateur, car il y a des utilisateurs qui ont tendance à changer leurs habitudes plus souvent que d'autres, notamment en faisant une réservation de vol. 10 Une action corrective est déclenchée en réponse au dépassement du seuil donné. Cette action corrective comprend l'une des actions correctives suivantes : (i) la fermeture de la session de l'utilisateur (ii) une demande d'authentification basée sur deux critères (iii) le verrouillage de l'utilisateur, et (iv) le déclenchement d'une fonction d'alerte. 15 La fermeture de session de l'utilisateur consiste par exemple, à déconnecter l'utilisateur de la session d'utilisateur en cours. La demande d'authentification de l'utilisateur basée sur deux critères consiste par exemple à demander à l'utilisateur de répondre à une question de sécurité prédéfinie et à fermer la session de l'utilisateur lorsque la réponse à la question de sécurité est erronée. Le verrouillage de l'utilisateur consiste par exemple à supprimer un profil d'utilisateur et/ou à refuser l'accès au serveur d'application 20 de façon permanente à un utilisateur. Le déclenchement d'une fonction d'alerte consiste par exemple, à émettre une alerte à un opérateur humain pour qu'il ou elle puisse évaluer la situation et prendre les mesures nécessaires. 25 La comparaison est effectuée sur le serveur d'application et l'action corrective est aussi déclenchée par le serveur d'application. Par conséquent, l'évaluation des activités de l'utilisateur dans le but de vérifier son authenticité est faite directement sur le serveur où ces actions sont effectuées et l'interaction à court terme (telle que le déclenchement de l'action corrective) peut être nécessaire, mais sur la base du modèle le plus actualisé de l'utilisateur. Le déclenchement d'une action corrective de cette manière n'est pas 30 influencé par un quelconque temps de latence du réseau, car le processus de vérification d'utilisateur qui déclenche une action similaire est situé sur le serveur d'application sur lequel les activités de l'utilisateur sont effectuées. La construction et l'adaptation de modèles d'utilisateur est un processus à long terme et qui ne nécessite pas nécessairement des données actualisées concernant les activités de l'utilisateur, mais nécessite suffisamment de puissance de calcul. Le processus de modélisation de l'utilisateur est donc 35 effectué sur au moins un serveur distinct de modèles d'utilisateur. 3047595 8 Une partie de la méthode de surveillance de l'authenticité d'un utilisateur (la partie relative à la modélisation de l'utilisateur) est effectuée sur le serveur de modèles d'utilisateur, sur la base des données transférées à partir du serveur (s) d'application sur le serveur (s) de modèles d'utilisateur, et l'autre partie de la méthode (la partie relative à la vérification de l'utilisateur) est effectuée sur le serveur d'application, 5 mais est basée sur les données transférées à partir du serveur de modèle sur le serveur (s) d'application (les données du modèle d'utilisateur adapté), la méthode est pour ainsi dire, réalisée d'une manière doublement distribuée. La première distribution est la distribution de la méthode sur différents serveurs, la seconde partie de la distribution est que le serveur d'application est une source de données (activités de l'utilisateur, etc.) pour le serveur de modèles d'utilisateur, mais c'est en même temps un réservoir de 10 données pour le serveur de modèles d'utilisateur (modèle d'utilisateur, etc.) et vice versa. Dans certains modes de réalisation, l'action corrective est sélectionnée sur la base de la valeur totale d'évaluation de risque. 15 Le type d'action corrective déclenchée dépend par exemple du seuil réel qui a été dépassé par la valeur totale d'évaluation de risque. Pour déclencher des actions correctives de trois types différents il y a par exemple, trois seuils différents. Lorsque la valeur totale d'évaluation de risque est plus élevée que le second seuil par exemple, une demande d'authentification basée sur deux critères est émise. Lorsque la valeur totale d'évaluation de risque est plus élevée que le second seuil, l'utilisateur est déconnecté de la 20 session. Si toutefois, la valeur totale d'évaluation de risque est plus élevée que le troisième seuil, l'utilisateur est verrouillé. Dans certains modes de réalisation, les données de l'activité de l'utilisateur comprennent au moins un enregistrement de log des activités de l'utilisateur. Les données de log mentionnées ci-dessus composant 25 l'information relative aux activités de l'utilisateur sur au moins ledit serveur d'application sont, par exemple, stockées dans un tel enregistrement de log. L'enregistrement de log est transmis à partir des applications sur le serveur de modèles d'utilisateur. Sur le premier serveur de modèle d'utilisateur, les éléments utilisés pour l'adaptation du modèle d'utilisateur sont extraits de l'enregistrement de log par le moteur d'apprentissage mentionné ci-dessus effectuant la reconstruction de la session utilisateur. 30 Dans certains modes de réalisation, les éléments sont obtenus à partir d'au moins deux applications différentes, en cours d'exécution sur au moins deux serveurs d'application. Le modèle d'utilisateur est adapté par exemple, à un serveur de modèles d'utilisateur sur la base de 35 l'activité relative à l'utilisateur associée avec différentes applications en cours d'exécution sur des serveurs d'application différents. Par conséquent, les instructions exécutables qui sont procurées sont programmées par exemple de façon à interagir avec une pluralité d'applications différentes. 3047595 9 Le modèle d'utilisateur peut avoir des parties spécifiques à différentes applications, car certains modèles d'activité comme le choix de la méthode de paiement peuvent varier pour un utilisateur en fonction de l'application. Par exemple, lorsque l'utilisateur réserve un voyage sur le site d'une compagnie ferroviaire, 5 l'utilisateur peut choisir de payer par encaissement direct, alors que le même utilisateur pourrait préférer le paiement par carte de crédit pour réserver un vol sur le site d'un fournisseur de transport aérien. Les mêmes techniques de modélisation (mesures de similarité, réseau neuronal, mélange Gaussien, etc.) peuvent être utilisées pour créer ces parties du modèle d'utilisateur spécifiques aux applications, pour les mêmes éléments. Dans ces exemples, l'élément de durée de session, c'est-à-dire le temps écoulé entre 10 l'ouverture de session et la fermeture de session de l'utilisateur, est mappé par exemple à un modèle de mélange Gaussien, mais avec des caractéristiques différentes pour différentes applications. Cependant, des techniques différentes peuvent aussi être utilisées pour modéliser les mêmes éléments extraits des données de log d'applications différentes. Par conséquent, pour l'application « X » l'élément 15 de durée de session (technique de modélisation des durées de session pour l'application « X ») pourrait être mappé à un modèle de mélange Gaussien, alors que pour l'application « Y » la durée de session pourrait être mappée sur une moyenne mobile des durées de session (technique de modélisation des durées de session pour l'application «Y »). 20 Dans certains modes de réalisation, l'action corrective est mise en oeuvre, quelle que soit la valeur totale d'évaluation de risque en réponse à la détection de certains modèles d'éléments. De cette façon, quelles que soient la valeur totale d'évaluation de risque et les statistiques sous-jacentes, certaines activités peuvent provoquer une action corrective (une demande d'authentification basée sur 25 deux critères ou le verrouillage de l'utilisateur). Ces modèles d'activité pourraient être définis par un analyste de risque. Par exemple, si un individu entre à plusieurs reprises des requêtes pour changer son nom d'utilisateur et son mot de passe, cela soulève un doute sur l'identité de l'utilisateur et provoque donc par exemple une demande automatique d'authentification basée sur deux critères. 30 Dans certains modes de réalisation, le modèle d'utilisateur comprend une pluralité de modèles d'activité d'utilisateur élément spécifique. Un modèle d'activité d'utilisateur élément spécifique est un modèle associé à un élément indicatif d'un type d'activité de l'utilisateur. Ainsi, ces modèles adaptatifs d'activité d'utilisateur élément spécifique 35 peuvent être considérés comme des sous-modèles du modèle d'utilisateur. Un modèle adaptatif d'activité d'utilisateur élément spécifique est spécifique par exemple, à la durée des sessions pendant que l'utilisateur est connecté à une application ; un autre modèle adaptatif d'activité d'utilisateur élément 3047595 10 spécifique est par exemple spécifique à la séquence d'actions effectuées par l'utilisateur, car un utilisateur particulier peut avoir l'habitude d'oublier son mot de passe pour l'application, cependant rentre le bon nom d'utilisateur. Lorsque soudainement cet utilisateur entre, par exemple, un nom d'utilisateur erroné à plusieurs reprises, cette activité pourrait être suspecte. Un autre modèle d'activité d'utilisateur élément 5 spécifique est par exemple spécifique au logiciel client et au type de machine client utilisés. Lorsqu'un utilisateur n'a pas l'habitude d'utiliser une application à partir d'un iPhone ou tout autre produit Apple, mais que cette activité est soudainement détectée, cela pourrait indiquer une fraude, car un individu pourrait seulement prétendre être le propriétaire d'un certain profil d'utilisateur. 10 Le modèle d'activité, lié à un élément spécifique, est choisi de telle sorte qu'il est pertinent de refléter les éléments qui lui sont associés. Par exemple, un modèle de chaîne de Markov est plus approprié pour modéliser une séquence d'actions qu'un modèle de mélange Gaussien alors que ce dernier est plutôt approprié pour modéliser la distribution des durées de sessions ou des heures de connexion. 15 Par ailleurs, les origines des requêtes envoyées à une application sur le serveur, ou le type de navigateur internet ou de l'ordinateur client utilisé, sont par exemple, modélisés par des techniques basées sur un modèle de fréquence, qui identifient des sous-séquences dans l'activité des utilisateurs liés aux ordinateurs clients ou origines des requêtes et comptent le nombre de sous-séquences rares dans une séquence longue période. Les séquences d'actions de l'utilisateur dans une application, par exemple, lors 20 de la réservation d'un vol, peuvent également être analysées par des techniques basées sur la similarité qui calculent un centroïde de vecteurs d'éléments précédemment enregistrés, * à partir de séquences d'actions, par exemple une réservation de vol. Ce centroïde peut être utilisé par exemple pour obtenir la différence entre un vecteur d'éléments des activités en cours de l'utilisateur et le centroïde. Par conséquent, une telle technique sert par exemple, de modèle adaptatif d'activité d'utilisateur élément 25 spécifique lié à la séquence d'actions d'un utilisateur lorsqu'il utilise une application particulière. Ces modèles sont adaptés en recalculant, par exemple les modèles tout en tenant compte des nouvelles valeurs d'éléments, chaque fois que les nouvelles données relatives à l'activité de l'utilisateur sont transmises à un module de calcul de modèle adaptatif d'activité d'utilisateur élément spécifique, en 30 commençant avec une solution de modèle qui correspond au dernier modèle d'activité d'utilisateur élément spécifique, pour lequel les nouvelles valeurs d'éléments n'avaient pas été prises en compte. Des éléments extraits de l'activité relative à l'utilisateur lors de la session d'utilisateur, à savoir la classe d'éléments relatifs aux origines de l'activité de l'utilisateur, l'élément d'horodatage des activités, les 35 durées de session de l'utilisateur pendant lesquelles les activités sont effectuées et au moins une des classes d'élément telles que l'information relative au client, l'information relative au bureau, et 3047595 ii l'information relative à l'entreprise, et leur mappage à un modèle d'activité d'utilisateur élément spécifique, sont décrits en détail ci-dessous. L'origine de l'activité relative à l'utilisateur concerne le pays, ou la région, à partir duquel la requête au 5- serveur d'activité a été émise au serveur d'application. L'information concernant l'origine de la requête peut être extraite, par exemple, d'un enregistrement whois de l'adresse IP de la requête, par exemple, une requête HTTP. Cet enregistrement whois contient l'information relative au fournisseur de services internet (FSI). L'origine de la requête peut être déduite à partir de la distribution régionale d'un FSI. L'origine peut être déterminée encore plus précisément si l'information relative aux adresses IP et 10 routeurs d'un fournisseur particulier de service internet est disponible que par l'analyse de la distribution régionale du FSI. Par exemple, l'origine de la requête d'un utilisateur est habituellement l'Allemagne et plus spécifiquement entre Munich et Stuttgart, cependant elle est aussi parfois située entre Sachsen et la partie 15 supérieure de l'Autriche. Ces données sont utilisées pour créer des modèles adaptatifs d'activités d'utilisateur élément spécifique associés aux origines des requêtes. Si l'utilisateur décrit ci-dessus se connecte sur le serveur d'application à partir de la Biélorussie, l'activité pourrait provoquer une valeur élevée totale d'évaluation de risque, car la déviation entre le modèle d'utilisateur standard et l'activité en cours de l'utilisateur est élevée au moins en ce qui concerne cet élément. 20 L'origine de l'activité relative à l'utilisateur peut aussi concerner les adresses IP des requêtes d'utilisateur elles-mêmes. Un modèle d'activité lié à un élément spécifique de ces adresses IP peut aussi être déterminé en collectant, par exemple, toutes les adresses IP à partir desquelles les requêtes d'utilisateur sont reçues et en attribuant une probabilité spécifique à chaque adresse IP. Une distance dans l'espace 25 IP peut être calculée entre l'adresse IP de la requête présente et toute autre adresse IP à partir de laquelle les requêtes sont généralement émises en tenant compte par exemple de la proximité de deux adresses différentes dans l'espace IP en comparant les sous-réseaux auxquelles elles appartiennent. Une moyenne pondérée de toutes les distances basées sur l'IP peut être calculée pour refléter la proximité moyenne de la présente adresse IP de l'utilisateur par rapport à toutes les autres adresses IP à partir desquelles 30 l'utilisateur a envoyé des requêtes, de sorte que les distances ci-dessus peuvent être pondérées en fonction de la fréquence relative d'occurrence de chaque adresse IP. Les horodatages des activités des utilisateurs sont par exemple, sont des horodatages associés avec les requêtes de l'utilisateur lorsqu'il utilise une application. La requête d'utilisateur en question est une 35 requête faite par l'utilisateur vers une application en cours d'exécution sur le serveur d'application. Des exemples de telles requêtes d'utilisateur sont : une requête d'identification, une requête de connexion à une certaine application, une requête pour finaliser une réservation, etc. 3047595 12 Des déductions peuvent ainsi être faites à partir du modèle adaptatif d'activité d'utilisateur élément spécifique associé à ces horodatages permettant de savoir par exemple si l'utilisateur se connecte à certaines applications sur le serveur d'application plutôt tard dans la soirée, tard dans la nuit, le week-end, pendant les jours travaillés, ou autre. Dans certains modes de réalisation, un modèle d'activité lié à un élément spécifique associé aux horodatages des actions comprend un modèle de mélange Gaussien basé sur les horodatages de l'activité de l'utilisateur. 10 Un modèle de mélange Gaussien est un modèle probabiliste qui assume tous les points de données ; dans ce cas particulier, les horodatages sont générés à partir d'un mélange d'un nombre fini de distributions Gaussiennes dont les paramètres sont inconnus. Par exemple, un tel modèle de mélange Gaussien est donné mathématiquement par : 15 P(x) = ai Gi (x, lü, a-i) , où ai est une probabilité prioritaire que la le distribution Gaussienne Gi (x, pi, o-i), pi est la valeur attendue de la ie distribution Gaussienne et ai est la déviation standard de la ie distribution Gaussienne et P(x) est la probabilité d'un certain horodatage x. 20 Les valeurs d'expectation et les gidéviations standard ai des distributions Gaussiennes sont adaptées aux horodatages de l'activité de l'utilisateur, par exemple, à une requête d'utilisateur, session par session, comme décrit ci-dessus, ainsi que les poids des distributions Gaussiennes avec ces déviations standard et les valeurs d'expectation. Le modèle d'activité lié à un élément spécifique associé avec les horodatages des activités de l'utilisateur est ainsi adapté à l'activité de l'utilisateur. 25 Par ailleurs et à titre d'exemple, les durées d'une session d'utilisateur sont aussi un élément modélisé par un modèle adaptatif d'activité d'utilisateur élément spécifique. Elles procurent l'information relative à l'authenticité d'un utilisateur alors que l'utilisateur effectue par exemple une réservation de vol d'une certaine manière et par conséquent a besoin d'un certain temps pour effectuer la tâche dans une 30 application de réservation de vol. Naturellement, le temps dont l'utilisateur a besoin pour effectuer une transaction bancaire peut être différent du temps nécessaire pour effectuer une tâche sur une application de réservation de vol. Par conséquent et à titre d'exemple, il y a une certaine durée de session d'utilisateur pour une application (s) de réservation de vol et une certaine durée de session utilisateur pour une application (s) bancaire. Ces durées de session exemplaires sont ensuite reflétées par exemple, par deux 35 modèles adaptatifs différents d'activité d'utilisateur élément spécifique sur la base desquelles deux 3047595 13 valeurs d'évaluation de risque lié à un élément spécifique associées aux durées de session sont construites, l'une est spécifique aux applications de réservation, l'autre est spécifique aux applications bancaires. 5 Dans certains modes de réalisation, le modèle d'activité d'utilisateur, lié à un élément spécifique, qui caractérise la durée des sessions de l'utilisateur mappe la durée des sessions de l'utilisateur à au moins une des données suivantes : une moyenne mobile (ii) une médiane (iii) une déviation standard de la durée de session de l'utilisateur, (iv) un quantile de la durée des sessions de l'utilisateur. 10 Par exemple, une moyenne mobile est donnée par une moyenne des 1000 dernières durées des sessions de l'utilisateur. Une déviation standard d'un ensemble de données est définie dans les statistiques comme la racine carrée de la variance d'un ensemble de données, ou la probabilité de distribution, c'est à dire une moyenne de 15 la racine carrée de la variance entre (i) la valeur d'expectation d'une variable aléatoire, dans ce cas une session de durée, et (ii) la valeur actuelle de cette variable. Une médiane est le nombre qui sépare la moitié supérieure d'un échantillon de données ou d'une probabilité de distribution, de la moitié inférieure de l'échantillon de données ou de la probabilité de 20 distribution. Si par exemple un ensemble de durées de session de l'utilisateur est donné par {1,0, 2,0, 5,0, 6,0, 8,0, 12,0, 16,0} minutes, la médiane est de 6,0 min, tout comme le point de données central de données de l'ensemble ordonné. Un quantile est une certaine valeur de durée de session d'utilisateur qui divise une probabilité de 25 distribution en une section à droite et une section à gauche de cette valeur. Si par exemple, une probabilité de durées de session d'utilisateur est enregistrée, il peut être déduit que 75% des durées de session de l'utilisateur sont en dessous d'une certaine valeur à partir de cette distribution, par exemple 8 minutes. De cette façon et à titre d'exemple, si par exemple 80% des dix dernières durées de session étaient supérieures à cette certaine valeur, cela pourrait être indicatif d'une activité frauduleuse. 30 Au moins l'une des données suivantes : (i) la moyenne mobile (ii) la déviation standard (iii) la médiane de durées des sessions de l'utilisateur ou une combinaison de celles-là, forme par exemple, un modèle d'activité d' lié à un élément spécifique qui est adapté en tenant compte de nouvelles durées de session lors du calcul de la nouvelle moyenne mobile, de la déviation standard ou de la valeur médiane. 35 3047595 14 Le quantile est adapté par exemple, en tenant compte des nouvelles valeurs lors du calcul de la probabilité de distribution des durées de session de l'utilisateur, par exemple, les 1000 dernières durées de session. 5 L'information relative au client peut être par exemple liée à un matériel/logiciel informatique utilisé par l'utilisateur lorsqu'il effectue des actions sur l'application (s) sur le serveur d'application). C'est par exemple, le navigateur internet utilisé (Google Chrome®, Microsoft Internet Explorer®, etc.), ou le type d'ordinateur utilisé (une tablette, un ordinateur personnel (PC) un smartphone, etc.) et le système d'exploitation (Android®, iOS. «D) utilisé. 10 L'information relative au client peut également être fournie par l'agent utilisateur qui est propre aux fichiers qui identifient en détail le navigateur internet utilisé par l'utilisateur. Par exemple, l'information relative au bureau et à l'entreprise fait partie d'une adresse IP statique utilisée 15 par une certaine société, une empreinte numérique associée à des requêtes d'utilisateur qui identifie à quelle société, entreprise, ou autre, appartient la requête. De cette façon, l'utilisateur peut être identifié par exemple comme étant un salarié de l'entreprise/société, etc. par l'analyse des requêtes en fonction de ces identifiants. 20 L'élément de séquence d'actions effectuées par l'utilisateur et une manière possible de modéliser cet élément par une chaîne Markov sont décrits ci-après. La séquence d'actions est un ensemble opportun ordonné des activités que l'utilisateur effectue lorsqu'il utilise le serveur d'application. Une séquence d'action exemplaire est donnée par : 25 1. Identification, 2. Navigation entre diverses combinaisons d'options de vols et d'hôtels cinq étoiles en Grèce, 3. Sélection d'un hôtel cinq étoiles avec piscine et service tout compris, 4. Location d'une petite citadine 30 5. Règlement entre une à cinq minutes après avoir choisi par avance une transaction bancaire avec la banque « XY ». 6. Fermeture de l'application de réservation. Vu que lorsque l'on utilise une application, les séquences d'actions indiquent les habitudes de 35 l'utilisateur, elles sont pertinentes aux fins d'authentifier l'utilisateur. Donc et à titre d'exemple, de telles séquences sont modélisées par un modèle d'activité d'utilisateur lié à un élément spécifique. 3047595 15 Dans certains modes de réalisation, le modèle d'activité lié à un élément spécifique qui caractérise la relation entre les actions individuelles de la séquence d'actions est un modèle de chaîne Markov. Les modèles de chaîne Markov modélisent un système aléatoire avec une pluralité d'états, dans cet 5 exemple une action est effectuée par l'utilisateur ou chacun de ces états a une probabilité de transition associée à un autre état. Par exemple, l'activité d'un utilisateur quand il fait une réservation de vol ou d'hôtel peut être considérée comme un tel système aléatoire avec une pluralité d'états. Dans un modèle Markov qui est un modèle soi-disant « sans mémoire », les probabilités de transition d'un état à un autre dépendent uniquement de l'état actuel, et non des états antérieurs. 10 La probabilité de transition qui forme une étape précédente «A », par exemple la navigation entre les hôtels cinq étoiles à une étape suivante «B », par exemple la réservation d'un hôtel trois étoiles est par exemple donnée par : Pr(Xi = BI Xi_i = A) = 0,01 La probabilité totale de séquence complète de six actions successives, X1 X6 effectuées par l'utilisateur 15 à partir d'un moment t=1 à un moment t=6, chaque horodatage qui est associé avec une certaine activité de l'utilisateur est donné par : t=6 P(X1, ... X6) = P(X1) P(Xt_iXt) t=2 , où P(X1, ... X6) est la probabilité totale de six actions successives, X1àX6, P(X1) est la probabilité que l'actionX1 de l'utilisateur est effectuée, et P(Xt_iXt)la probabilité de transition d'une étape Xt_i à une 20 étape. Xt. Ces six actions étiquetées comme X1 à X6 pourraient par exemple être les six actions décrites précédemment effectuées par l'utilisateur lors de la réservation d'une combinaison d'offres hôtel et vol. 25 Par ailleurs, il n'y a pas qu'une seule méthode qui peut être appliquée pour créer un modèle d'activité d'utilisateur élément spécifique, mais plutôt des modèles différents d'activité d'utilisateur élément spécifique, relatifs au même élément, par exemple, une séquence d'actions peut être obtenue en analysant les mêmes valeurs d'élément grâce à des méthodes d'analyse différentes. Par exemple, une séquence d'actions peut être mappée à un modèle d'activité d' lié à un élément spécifique réalisé sous la forme 30 d'un modèle de chaîne de Markov ou d'un modèle similaire basé sur la similarité, dans lequel les actions sont combinées à un vecteur de caractéristiques et un centroïde d'une pluralité de tels vecteurs de caractéristiques est calculé. Dans certains modes de réalisation, les modèles d'activités d' lié à un élément spécifique sont aussi 35 spécifiques à l'application. Comme mentionné, le modèle d'utilisateur peut avoir des parties spécifiques 3047595 16 pour différentes applications, car une certaine activité de l'utilisateur peut varier pour un utilisateur en fonction de l'application. Ces parties spécifiques du modèle de l'utilisateur sont réalisées par exemple comme des modèles d'activité d' lié à un élément spécifique qui sont aussi spécifiques à l'application. Par conséquent, il y a un modèle d'activité lié à un élément spécifique associé par exemple à l'élément 5 exemplaire de durée de session pour l'application « X » et un autre modèle d'activité d' lié à un élément spécifique pour l'application «Y ». Par conséquent, les différents modèles d'activités élément spécifique qui sont associés avec différentes applications, sont comparés avec les éléments obtenus à partir des activités en cours de l'utilisateur, effectuées par l'utilisateur sur diverses applications, afin de déterminer les valeurs d'évaluation de risque lié à un élément spécifique associées avec ces différentes applications. 10 De telles valeurs d'évaluation de risque lié à un élément spécifique sont expliquées en détail ci-dessous. Dans certains modes de réalisation, la détermination de la valeur totale d'évaluation de risque comprend la détermination de valeurs d'évaluation de risque lié à un élément spécifique, basée sur une déviation entre une pluralité de valeur d'éléments et les modèles respectifs d'activité d'utilisateur élément 15 spécifique. Le processus de vérification d'utilisateur comprend la détermination d'une pluralité de valeurs d'évaluation de risque lié à un élément spécifique. Une valeur d'évaluation de risque lié à un élément spécifique est une valeur qui quantifie le risque que certaines valeurs d'éléments soient frauduleuses 20 concernant l'authenticité de l'utilisateur. Il y a par exemple, une valeur d'évaluation de risque lié à un élément spécifique associée aux heures de connexion de l'utilisateur et une autre valeur de risque associée à la durée de la session ou à l'origine de la requête. La détermination d'une valeur d'évaluation de risque lié à un élément spécifique de la pluralité de valeurs 25 d'évaluation de risque lié à un élément spécifique comprend la comparaison d'au moins un modèle adaptatif d'activité d'utilisateur liée à élément spécifique avec un élément respectif, extrait d'au moins une activité lors une session d'utilisateur sur le serveur d'application. À titre d'exemple lorsqu'une séquence d'actions est l'élément en question, une séquence d'actions en 30 cours effectuées par l'utilisateur est comparée avec le modèle adaptatif d'activité lié à un élément spécifique de cet élément. Cette comparaison est accomplie par exemple, en calculant la distance du vecteur d'éléments construit par la séquence actuelle d'actions, décrite ci-dessus, à un centroïde de petits groupes de séquences antérieures. Cette distance peut par exemple, servir d'évaluation de risque spécifique à l'élément de séquence d'actions. 35 Le calcul des valeurs d'évaluation de risque lié à un élément spécifique associé avec l'élément horodatage est expliqué par ailleurs dans le cas d'un modèle de mélange Gaussien utilisé comme modèle 3047595 17 d'activité lié à un élément spécifique associé avec les horodatages des activités de l'utilisateur. Dans certains modes de réalisation, le calcul de la valeur d'évaluation de risque lié à un élément spécifique associé avec les horodatages des activités de l'utilisateur comprend l'évaluation d'un complément de probabilité d'horodatage extrait des actions de l'utilisateur, le complément étant tiré du modèle de mélange Gaussien. Lorsque la probabilité d'un certain horodatage de l'activité de l'utilisateur, par exemple une requête de connexion à une application sur le serveur d'application est P(x), alors le complément de probabilité de 10 l'horodatage est 1 - P(x). Ainsi, lorsque la probabilité d'un certain horodatage par exemple est de 0,05, normalisée de 0 à 1, la valeur d'évaluation de risque lié à un élément spécifique associée à l'horodatage est de 0,95. Alternativement, une fonction d'évaluation exponentielle est utilisée, par exemple évaluation : s = exp( 1:177' 15 , où P correspond à P(x) défini ci-dessus. En réglant le paramètre, différents modèles d'évaluation peuvent être obtenus. Les valeurs d'évaluation de risque lié à un élément spécifique associées à l'information relative au client sont données par exemple, par une combinaison de valeurs d'évaluation de risque lié à un élément 20 spécifique associées au navigateur internet utilisé, l'agent utilisateur, les informations relatives au système d'exploitation et au type d'ordinateur utilisé par le client. La valeur d'évaluation de risque lié à un élément spécifique associée à l'information relative au client est de cette façon plutôt une valeur précombinée d'évaluation de risque, lié à un élément spécifique, mais n'est pas une valeur totale d'évaluation de risque. 25 Dans certains modes de réalisation, le calcul de la valeur d'évaluation de risque lié à un élément spécifique associée à la durée des sessions de l'utilisateur comprend le calcul de la différence entre la durée d'une session de l'utilisateur, et au moins l'une des données suivantes : la moyenne mobile, (ii) la médiane de durées des sessions d'utilisateur, et/ou la comparaison de la durée d'une session de 30 l'utilisateur avec des intervalles de confiance, donnés par des multiples de la déviation standard. Une différence entre une durée de session momentanée, c'est à dire le temps écoulé depuis la connexion dans le temps de l'utilisateur ou la durée de la dernière session déjà fermée, et la moyenne mobile, par exemple des 100 dernières durées de session, sert par exemple de valeur d'évaluation de risque lié à un 35 élément spécifique associée avec la durée des sessions d'utilisateur. Par exemple, plus la valeur absolue de cette différence est élevée, plus la probabilité de fraude est élevée. 3047595 18 Il en est de même pour la valeur médiane des durées des sessions de l'utilisateur. Dans ce cas également, la différence ou la différence de la valeur absolue entre une durée de session momentanée ou la durée de la dernière session déjà fermée et la médiane des dernières, par exemple 100, durées de session, sert par exemple de valeur adaptative d'évaluation de risque lié à un élément spécifique associée à la durée des sessions de l'utilisateur. Les intervalles de confiance par exemple, donnés par multiples de la déviation standard d'une probabilité de déviation des durées de session (16, 2a-, 3o-), peuvent être utilisés lors du calcul de la valeur 10 d'évaluation de risque lié à un élément spécifique. La probabilité qu'une durée de session soit comprise dans un champ (intervalle de confiance) dep. ± la, où g est la valeur d'expectation, et - est la déviation standard, est approximativement de 68,27 % alors que la probabilité que la durée de session soit comprise dans un intervalle de confiance de g± 2 - est de 95,45%. Comme le montrent ces chiffres, la probabilité qu'une durée de session ne soit pas comprise dans ces intervalles est de 31,73%, soit 4,55%, 15 respectivement. Ainsi, le complément de ces probabilités est utilisé par exemple, comme valeur d'évaluation de risque. De cette façon, une valeur de durée de session qui n'est pas comprise dansµ ± 2 - l'intervalle de confiance comporte par exemple, une probabilité de fraude de 95,45% et une valeur d'évaluation de risque correspondante. 20 Dans certains modes de réalisation, le calcul de la valeur d'évaluation de risque lié à un élément spécifique associé avec la séquence d'actions effectuées par l'utilisateur comprend la détermination d'un complément de la probabilité Markov d'une séquence d'actions donnée extraite à partir des actions de l'utilisateur. 25 Dans ce contexte le complément de la probabilité Markov est, par exemple, la probabilité qu'un certain utilisateur n'effectue pas l'étape «B » après l'étape « A ». Par exemple, si un utilisateur a l'habitude de payer par transaction bancaire par avance après avoir réservé un vol, « réserver un vol » (étape A) à « payer par avance par transaction bancaire » (étape B) est une transition, la probabilité Markov de cette séquence (partielle) peut avoir une valeur de 0,95. Le complément de la probabilité Markov et de 0,05, 30 par conséquent, la valeur d'évaluation de risque élément-spécifique de cette séquence d'actions correspond à ce complément et elle est par là même très faible. Cependant, si une autre action avec une probabilité de transition très faible est effectuée, la valeur d'évaluation de risque lié à un élément spécifique est très élevée. Pour donner un exemple, si habituellement un utilisateur n'oublie jamais son mot de passe, de multiples essais erronés d'identification (dus à l'entrée d'un mot de passe erroné) qui 35 correspondent à une probabilité de transition d'une étape « A » à une même étape «A », sont alors associés avec un complément de la probabilité Markov élevé et donc une valeur élevée d'évaluation de risque « élément-spécifique ». 3047595 19 Aussi, le complément Markov pas seulement une probabilité de transition, mais aussi la probabilité qu'une certaine séquence d'actions particulière soit par exemple, utilisée comme valeur d'évaluation de risque lié à un élément spécifique. Lorsque P(Xi, ... X6) est la probabilité totale de six actions 5 successives, le complément de cette probabilité est donné par 1 - P(Xi, ..., X6). À nouveau, des compléments élevés correspondent à des valeurs élevées d'évaluation de risque lié à un élément spécifique. Dans certains modes de réalisation, la valeur totale d'évaluation de risque est déterminée par un moteur 10 adaptatif d'évaluation de risque, où le moteur adaptatif d'évaluation de risque est programmé pour déterminer les valeurs d'évaluation de risque lié à un élément spécifique selon leur probabilité relative de fraude pour obtenir la valeur totale d'évaluation de risque. Lors de l'exécution du processus de vérification d'utilisateur, les instructions amènent le processeur à 15 déterminer une valeur totale d'évaluation de risque indicative de la non-authenticité de l'utilisateur. La détermination de la valeur totale d'évaluation de risque comprend: a) la pondération et la combinaison de la pluralité de valeurs d'évaluation de risque lié à un élément spécifique, ou b) la pondération et la combinaison des valeurs précombinées d'évaluation de risque. Les valeurs précombinées d'évaluation de risque sont déterminées par la combinaison d'une portion de la pluralité de valeurs d'évaluation de 20 risque lié à un élément spécifique qui repose sur l'analyse de décision à critères multiples (MCDA). Chaque valeur d'évaluation de risque, en elle-même, n'est indicative de la non-authenticité de l'utilisateur qu'en fonction d'un élément particulier. Cependant, une seule activité en particulier qui influence un seul élément pourrait être modifié par un utilisateur de temps à autre. Par exemple, si un 25 individu utilise Google-Chrome® comme navigateur au lieu de Microsoft Internet Explorer® pendant un certain temps, ce fait pris à part est peu indicatif d'une activité frauduleuse. Par conséquent, l'évaluation de risque actuel que l'utilisateur n'est pas l'utilisateur qu'il ou elle prétend être est plutôt donnée par la combinaison d'une pluralité de valeurs individuelles d'évaluation de risque lié à un élément spécifique. 30 Les valeurs individuelles d'évaluation de risque lié à un élément spécifique peuvent être directement combinées avec la valeur totale d'évaluation de risque ou avec certaines valeurs d'évaluation de risque lié à un élément spécifique, appartenant à la même classe d'éléments tels que les éléments relatifs à l'information client et elles peuvent être précombinées à une valeur précombinée d'évaluation de risque, 35 par exemple en étant associées à divers éléments relatifs à la classe d'élément "information client. De cette façon, les valeurs d'évaluation de risque lié à un élément spécifique associées au navigateur Internet utilisé peuvent être combinées par exemple, avec la valeur d'évaluation de risque lié à un 3047595 20 élément spécifique associée au système d'exploitation utilisé, au type d'ordinateur, pour obtenir une valeur précombinée d'évaluation de risque lié à un élément spécifique associée à l'information sur le client. 5 Vu que tous les éléments ne vont pas jouer le même rôle lorsqu'il est question de protection contre la fraude, car des modèles d'activité d'un utilisateur pourraient fluctuer plus que d'autres - à savoir qu'il est plus probable pour un élément particulier de changer que pour un autre - toutes les valeurs d'évaluation de risque lié à un élément spécifique pourraient contribuer à la valeur totale d'évaluation de risque avec le même poids. 10 Pour donner un exemple, une connexion en Chine, lorsque l'utilisateur s'est connecté trois heures plus tôt à partir de la France est plus indicative d'une fraude que, par exemple lorsqu'un utilisateur envoie une requête à partir d'un autre ordinateur (adresse IP) ou un autre type d'ordinateur (ordinateur de bureau, ordinateur portable) que celui qu'il ou elle utilise habituellement. 15 Dans certains modes de réalisation, la combinaison de valeurs d'évaluation de risque lié à un élément spécifique comprend la pondération des valeurs d'évaluation selon leur probabilité relative de fraude. Les valeurs d'évaluation de risque élément spécifique sont par exemple pondérées selon leur probabilité 20 de fraude relative. La pondération des valeurs d'évaluation de risque lié à un élément spécifique et aussi le type de combinaison choisie sont définis par exemple par un analyste de risque. Également le seuil avec lequel la valeur d'évaluation de risques est comparée est, par exemple, adapté à certaines valeurs d'évaluation de risque. De cette façon si certaines valeurs d'évaluation de risque lié 25 à un élément spécifique dépassent un seuil individuel, ou que certains modèles d'activité sont détectés, qu'ils soient appris par un modèle de réseau neuronal ou qu'ils soient prédéfinis, le seuil global peut-être abaissé de façon à ce que l'action corrective décrite ci-dessus soit mise en oeuvre quel que soit le cas. En combinant de façon adaptative le poids des valeurs d'évaluation de risque élément spécifique, ainsi 30 que les synergies entre certains critères, par exemple, les évaluations de risque associé avec certains éléments peuvent être prises en compte. Comme dans l'exemple ci-dessus, une valeur élevée d'évaluation de risque associée avec un horodatage pourrait être élevée simplement parce qu'un individu est en train de travailler pendant la nuit, cependant, quand la valeur d'évaluation de risque aussi associée avec l'origine de la requête est élevée, la pondération de ces deux facteurs dans la combinaison donnant 35 une valeur totale d'évaluation de risque pourrait être potentialisée en les multipliant par exemple avec un certain nombre proche du seuil ou autre. 3047595 21 Cependant d'autres valeurs d'évaluation de risque lié à un élément spécifique pourraient être superflues ; par exemple, la valeur d'évaluation de risque lié à un élément spécifique associée avec l'ordinateur du client est élevée ainsi que la valeur d'évaluation de risque lié à un élément spécifique associée avec le navigateur internet lors de l'utilisation d'un autre ordinateur du client tel qu'une tablette Android® du 5 client, il est vraisemblable qu'un autre navigateur Internet préinstallé, comme Google Chrome® est utilisé à la place de Microsoft Internet Explorer® qui pourrait être la préférence normale de l'utilisateur sur un ordinateur fonctionnant sous Windows. Par conséquent, dans ces cas, la pondération des deux valeurs d'évaluation de risque lié à un élément 10 spécifique pourrait être diminuée par rapport à leur pondération standard dans la combinaison qui donne la valeur totale d'évaluation de risque. Une telle règle pourrait aussi être choisie par un analyste de risque ou pourrait alternativement être trouvée automatiquement par la méthode de surveillance de l'authenticité d'un l'utilisateur, en ajustant 15 par exemple les facteurs de pondération sur la base d'un modèle de réseau neuronal ou autre. Une simple façon de combiner les valeurs d'évaluation de risque lié à un élément spécifique, est d'utiliser une moyenne pondérée des valeurs d'évaluation de risque lié à un élément spécifique. Une façon de déterminer la valeur totale d'évaluation de risque de cette façon est donnée par: 20 R= pi * ri , pi = 1 r=1. , où R représente la valeur totale d'évaluation de risque, ri sont N valeurs différentes d'évaluation de risque élément spécifique, et pi sont leurs poids respectifs. Dans certains modes de réalisation, les valeurs d'évaluation de risque lié à un élément spécifique sont 25 combinées en utilisant l'analyse de décision à critères multiples (MCDA). L'analyse de décision à critères multiples comprend la détermination, par exemple d'au moins une moyenne ordonnée doublement pondérée et d'une moyenne ordonnée pondérée de ces valeurs. 30 Les moyennes ordonnées pondérées et les moyennes ordonnées doublement pondérées sont des outils statistiques de la MCDA pour les environnements « flous », par exemple les environnements dans lesquels la transition entre deux états, par exemple, frauduleux ou non frauduleux, est plutôt floue que définissable de façon exacte. 3047595 22 Une possibilité pour obtenir la valeur totale d'évaluation de risque est d'utiliser une moyenne ordonnée pondérée des valeurs d'évaluation de risque lié à un élément spécifique. Les valeurs d'évaluation de risque lié à un élément spécifique sont de cette façon, pondérées selon leur ordre. 5 Une moyenne ordonnée pondérée de valeurs d'évaluation de risque lié à un élément spécifique pour obtenir une valeur totale d'évaluation de risque est donnée par : R (ri ... rN) = WB , où R est la valeur totale d'évaluation de risque, W = WN) est un vecteur de poids wi, et B = (b1...bN) est un vecteur de valeurs d'évaluation de risque lié à un élément spécifique bi, ordonnées 10 selon leur magnitude, en commençant avec la valeur la plus élevée d'évaluation de risque comme élément bi. Les poids wi de vecteur W sont dans la somme un : EN 1 ut; = 1. OWA diffère d'une moyenne pondérée classique en ce que la moyenne pondérée classique des poids n'est pas associée avec la position d'une entrée particulière dans une séquence ordonnée d'entrées, mais 15 plutôt avec leur magnitude indépendamment de la position. Par contraste avec OWA les poids dépendent généralement de la position des entrées dans une séquence ordonnée d'entrées. II en résulte qu'OWA peut mettre en avant par exemple les valeurs les plus grandes, les plus petites ou celles du milieu. Cela permet à l'analyste de risque d'inclure certaines préférences parmi les valeurs d'évaluation de risque élément spécifique, telles que « le plus de » ou « le moins de » k critères (de N) pour avoir une valeur 20 élevée significative afin que la valeur totale d'évaluation de risque devienne significative également. Une séquence d'entrées ordonnées (ordonnées selon une magnitude décroissante) peut-être dénommée W et représente une liste, ou un « vecteur » d'entrées. Par exemple, un analyste de risque pourrait vouloir mettre en avant deux ou plusieurs valeurs d'évaluation de risque lié à un élément spécifique. Par 25 conséquent, le poids le plus élevé en 2e position dans W est sélectionné. En supposant que B1 = [0, 9 - 0,0 - 0,0 - 0, 8 - 0,0] et W1 = [0, 1, 0, 0, 0], une valeur médiane arithmétique de 0,34 et une valeur correspondante OWAw de 0,8 seraient obtenues. Dans un autre exemple, quand il est supposé que B2 = [0,2 - 1,0 - 0,3 - 0,2 - 0,3] et W2 = [0, 1, 0, 0, 0], une valeur médiane arithmétique de 0,40 et une valeur correspondante OWAw de 0,3 seraient obtenues à la place. Il est évident qu'OWA 30 peut faire une nette différence entre ces deux vecteurs de valeurs d'évaluation de risque lié à un élément spécifique, alors que la moyenne arithmétique ne le peut pas. Une autre possibilité pour obtenir la valeur totale d'évaluation de risque est d'utiliser une moyenne ordonnée doublement pondérée des valeurs d'évaluation de risque lié à un élément spécifique. Les 35 valeurs d'évaluation de risque lié à un élément spécifique sont pondérées selon leur ordre et leur importance. La fonction agrégation combine les avantages des deux types de fonctions de moyenne en permettant à l'analyste de risque de quantifier la fiabilité des valeurs d'évaluation de risque lié à un 3047595 23 élément spécifique avec un vecteur P (comme le fait la moyenne pondérée) et en même temps pondère les valeurs en fonction de leur position relative avec un second vecteur W (comme l'opérateur OWA). Dans ce qui suit, W et P sont deux vecteurs de pondération s'additionnant à 1 avec la même signification 5 que ceux utilisés précédemment pour OWA et pour la moyenne pondérée, respectivement. Une moyenne ordonnée doublement pondérée des valeurs d'évaluation de risque lié à un életent spécifique pour obtenir une valeur totale d'évaluation de risque est donnée par : R (ri ... rN) = UB , où R est la valeur totale d'évaluation de risque, U = (u1 uN) est un vecteur de poids ut, et B = 10 (b1 bN) est un vecteur de valeurs d'évaluation de risque lié à un élément spécifique bi, ordonnées selon leur magnitude en commençant avec la valeur la plus élevée d'évaluation de risque comme élément b1. Les poids uidu vecteur U sont à nouveau dans la somme un : EN 1 ui = 1. Les poids de U sont obtenus par une fonction d'interpolation monotone non décroissante G appliquée à des sous-ensembles combinatoires de vecteur de pondération P, où la fonction d'interpolation G est définie par 15 un ensemble de points lié au vecteur de pondération W. Essentiellement, l'opérateur WOWA peut être considéré comme une fonction OWA avec les poids ui, qui sont obtenus en combinant deux vecteurs de pondération W (comme pour OWA) et P (comme utilisé pour la moyenne pondérée) en utilisant une fonction génératrice G : U = func(W, P) 20 À nouveau et à titre d'exemple, un analyste de risque pourrait vouloir mettre en avant deux ou plusieurs valeurs d'évaluation de risque plus significatives et en même temps vouloir exprimer l'importance relative plus élevée des éléments 1 et 4. Par conséquent le poids le plus élevé en r position dans U est sélectionné. Une moyenne ordonnée doublement pondérée des valeurs d'évaluation de risque lié à un élément spécifique pour obtenir une valeur totale d'évaluation de risque est donnée par : B1 = 25 [0, 9"- 0,0 - 0,0 - 0, 8 - 0,0), W1 = [0, 1, 0, 0, 0] et P1 = [0, 4 - 0,1 - 0,1, 0, 3, - 0,1] une moyenne arithmétique de 0,34, une valeur moyenne pondérée de 0,60 et une valeur correspondante WOWAu de 0,90 seraient obtenues. Quand d'autre part, B2 = [0,2 - 1,0, - 0,3 0,2 - 0,3), W2 = [0, 1, 0, 0, 0], et pz = [0, 4 - 0,1 - 0,1 - 0, 3 - 0,1], une moyenne arithmétique de 0,40, une valeur moyenne pondérée de 0,30 et une valeur correspondante WOWALLB de 0,25 seraient 30 préférées. Il devient clair que WOWA peut faire une différence encore plus marquée entre ces deux vecteurs de valeurs d'évaluation de risque lié à un élément spécifique. Comme le montrent les exemples présentés ci-dessus, la moyenne arithmétique n'apporte pas de distinction claire entre les différents vecteurs pour les exemples montrés. Une moyenne pondérée (WM) donne une meilleure distinction qu'une moyenne arithmétique dans une certaine mesure ; WOWA apporte une distinction encore plus 35 claire. Dans l'exemple présenté, la différence de valeur de la moyenne arithmétique est seulement de 0,30, alors que WOWA sépare les deux cas par 0,65. 3047595 24 Néanmoins, d'autres techniques de combinaison parmi les techniques MCDA, comme les intégrales floues sont appliquées par exemple pour obtenir la valeur totale d'évaluation de risque. Les intégrales floues telles que les intégrales de Choquet sont appropriées pour l'inclusion d'interactions positives 5 (synergies) et des interactions négatives (superflues) entre certains sous-ensembles de valeurs d'évaluation de risque lié à un élément spécifique dans la combinaison de valeurs d'évaluation de risque élément spécifique. Les intégrales floues sont définies par rapport à ce qu'on appelle des mesures floues (ou capacités) qui sont des fonctions fixes utilisées pour définir, dans un certain sens, l'importance de tout sous-ensemble appartenant à l'ensemble de puissance de N (l'ensemble d'éléments). Les intégrales 10 floues peuvent être considérées comme une généralisation de toutes les fonctions de moyenne décrites ci-dessus. Comme il a été expliqué ci-dessus, la valeur totale d'évaluation de risque est déterminée par un moteur adaptatif d'évaluation de risque sur le serveur d'application qui applique la technique MCDA à la valeur 15 d'évaluation de risque lié à un élément spécifique, après avoir déterminé ces valeurs d'évaluation de risque lié à un élément spécifique. Dans certains modes de réalisation, le moteur adaptatif d'évaluation de risque est adapté sur le serveur de modèle d'utilisateur en adaptant l'analyse de décision à critères multiples (MCDA). Comme indiqué 20 ci-dessus, le moteur d'évaluation de risque est adapté par exemple en adaptant les poids des valeurs d'évaluation de risque lié à un élément spécifique, lorsqu'elles sont combinées à la valeur totale d'évaluation de risque par une technique MCDA, par exemple en changeant le poids du vecteur. Dans certains modes de réalisation, le moteur adaptatif d'évaluation de risque est répliqué à partir du 25 serveur de modèles d'utilisateur sur le serveur d'applications après avoir été adapté et la valeur totale d'évaluation de risque spécifique est déterminée par le moteur adaptatif d'évaluation de risque sur le serveur d'application, sur la base du modèle d'utilisateur reçu du serveur de modèles d'utilisateur. Par exemple, les éléments qui ont été extraits de l'enregistrement de log afin d'adapter le modèle 30 d'utilisateur sur le serveur de modèles d'utilisateur peuvent aussi être utilisés pour adapter le moteur adaptatif d'évaluation de risque sur le serveur de modèles d'utilisateur. Comme il a été mentionné ci-dessus, des valeurs d'évaluation de risque lié à un élément spécifique pourraient être superflues pour la détermination de la valeur totale d'évaluation de risque, car les 35 éléments sous-jacents pourraient avoir la même cause profonde. Quand il est déterminé lors de l'adaptation d'un modèle d'activité d'utilisateur que par exemple de tels éléments seraient superflus, par exemple l'ordinateur client et le système d'exploitation ont changé, cette information pourrait être 3047595 25 utilisée pour réduire le poids relatif des deux valeurs d'évaluation de risque lié à un élément spécifique, associées avec ces éléments superflus, car elles devraient moins contribuer à la valeur totale d'évaluation de risque, lorsque deux éléments ont changé par rapport aux modèles d'utilisateur précédents, que si un seul avait changé. Le moteur adaptatif d'évaluation de risque est répliqué sur le serveur d'application après avoir été adapté sur le serveur de modèles d'utilisateur. Cette réplication peut se faire en copiant la version adaptée du modèle d'utilisateur à partir du serveur de modèles d'utilisateur sur le serveur d'application dans son ensemble, ou en copiant seulement le delta entre le modèle d'utilisateur adapté et la version non adaptée 1.0 du modèle d'utilisateur. L'adaptation et la réplication décrites ci-dessus du moteur adaptatif d'évaluation de risque assurent que le moteur adaptatif d'évaluation de risque le plus actualisé est toujours utilisé pour la comparaison des activités en cours de l'utilisateur avec le modèle d'utilisateur le plus actualisé pour obtenir les valeurs 15 d'évaluation de risque lié à un élément spécifique, ces valeurs d'évaluation de risque lié à un élément spécifique, sont ensuite combinées par le moteur d'évaluation de risque à la valeur totale d'évaluation de risque. Par la suite, la valeur totale d'évaluation de risque est comparée avec le seuil (s) donné dans l'antémémoire de règles sur le serveur d'application. Selon le résultat de cette comparaison, un type d'action corrective donné, associé à une occurrence de valeur totale d'évaluation de risque, plus élevée 20 que le seuil donné associé à un type d'action corrective, est ou non déclenché. Dans certains modes de réalisation, l'accès de l'utilisateur au serveur d'application est contrôlé par un serveur de connexion et de sécurité au début de la session de l'utilisateur et la valeur totale d'évaluation de risque est comparée avec le seuil donné sur le serveur d'application, où l'action corrective est 25 exécutée par un contrôle d'accès pendant la session de l'utilisateur, où le contrôle d'accès est compris dans le serveur d'application. L'accès de l'utilisateur au serveur d'application est contrôlé par exemple par le serveur de connexion et de sécurité par un contrôle d'accès basé sur le rôle. Le contrôle d'accès basé sur le rôle consiste à vérifier 30 un nom d'utilisateur sur une liste de contrôle d'accès comprenant différents niveaux de sécurité ou de droits d'accès pour des utilisateurs différents. Lorsque le niveau de sécurité ou de droit d'accès de l'utilisateur est suffisant et que l'utilisateur entre par exemple le mot de passe correct associé avec son nom d'utilisateur, l'utilisateur est connecté à l'application. 35 Lorsque la valeur totale d'évaluation de risque a été déterminée par le moteur adaptatif d'évaluation de risque, sur le serveur d'application, cette valeur totale d'évaluation de risque est comparée avec le seuil (s) donné stocké par exemple dans l'antémémoire de règles sur le serveur d'application. Lorsque la 3047595 26 valeur totale d'évaluation de risque est par exemple plus élevée que le premier seuil, une action corrective telle qu'une demande d'authentification basée sur deux critères peut-être demandée à l'utilisateur. Par exemple, un contrôle d'accès situé sur le serveur d'application est informé par l'antémémoire de règles, que la valeur totale d'évaluation de risque a dépassé le seuil. L'antémémoire de règles envoie par exemple une demande d'authentification basée sur deux critères au serveur de connexion et de sécurité. L'authentification basée sur deux critères est par exemple, réalisée par le serveur de connexion et de sécurité qui interagit avec l'utilisateur. Selon un second aspect, un syslème de serveur distribué est procuré, le système de serveur distribué 10 comprenant au moins un serveur d'application et au moins un serveur de modèles d'utilisateur. Les serveurs comprennent au moins un processeur et au moins une mémoire non volatile comprenant au moins un programme informatique contenant des instructions exécutables pour la méthode de surveillance de l'authenticité d'un utilisateur pendant les activités de l'utilisateur lors d'une session d'utilisateur sur au moins un serveur d'application. La méthode est effectuée de façon distribuée au 15 moyen du système de serveur distribué. Les instructions exécutables, lorsqu'elles sont exécutées par au moins un processeur, amènent au moins ledit processeur à : effectuer un processus de modélisation de l'utilisateur dans lequel un modèle d'utilisateur existant est adapté, session par session, aux activités de l'utilisateur, effectuer un processus de vérification de l'utilisateur comprenant : 20 la comparaison du modèle de l'utilisateur avec des éléments extraits de l'activité de la session de l'utilisateur sur le serveur d'application, la détermination d'une valeur totale de l'évaluation de risque sur la base de la comparaison, lorsque la valeur totale d'évaluation de risque dépasse un seuil donné, une action corrective est mise en oeuvre, comprenant au moins l'une des actions correctives suivantes : (i) une fermeture de 25 session de l'utilisateur (ii) une demande d'authentification basée sur deux critères (iii) le blocage de l'utilisateur, et (iv) le déclenchement d'une fonction d'alerte. Le processus de modélisation de l'utilisateur étant effectué sur un serveur de modèles d'utilisateur où le modèle d'utilisateur est adapté aux données de l'activité de l'utilisateur reçues du serveur d'application et le processus de vérification de l'utilisateur est effectué sur au moins un serveur d'application, où le 30 processus de vérification de l'utilisateur est effectué sur la base du modèle d'utilisateur adapté sur le serveur de modèles d'utilisateur. Dans certains modes de réalisation, les instructions exécutables, lorsqu'elles sont exécutées par les processeurs des serveurs, amènent par ailleurs les processeurs à effectuer l'une quelconques des activités 35 décrites ci-dessus. 3047595 27 BRÈVE DESCRIPTION DES DESSINS Les modes de réalisation exemplaires de l'invention sont maintenant décrits avec des références aux dessins annexés, dans lesquels Fig. 1 est une vue d'ensemble schématique d'un système de serveur distribué effectuant une méthode exemplaire de surveillance de l'authenticité de l'utilisateur, Fig. 2 illustre de façon schématique l'extraction d'un élément à partir d'un enregistrement de log 10 d'une application spécifique, Fig. 3a est un diagramme bloc schématique d'une méthode exemplaire de surveillance de l'authenticité de l'utilisateur avec une seule valeur d'évaluation de risque lié à un élément spécifique pour chaque élément et une combinaison à une seule étape des valeurs d'évaluation 15 de risque en utilisant des techniques MCDA, Fig. 3 b est un diagramme bloc schématique d'une méthode exemplaire de surveillance de l'authenticité d'un l'utilisateur avec une seule valeur d'évaluation de risque lié à un élément spécifique pour chaque élément et une combinaison à deux étapes des valeurs d'évaluation de 20 risque lié à un élément spécifique en utilisant la technique MCDA, Fig. 3c est un diagramme bloc schématique d'une méthode exemplaire de surveillance de l'authenticité d'un l'utilisateur avec deux valeurs d'évaluation de risque lié à un élément spécifique résultant de deux modèles d'utilisateur différents pour chaque élément et une 25 combinaison à deux étapes des valeurs d'évaluation de risque élément spécifique en utilisant la technique MCDA, Fig. 4 illustre la combinaison de valeurs d'évaluation de risque lié à un élément spécifique en utilisant une pondération d'une moyenne ordonnée doublement pondérée, ou une moyenne ordonnée 30 pondérée, Fig. 5 illustre un modèle de mélange Gaussien de lairobabilité de distribution des horodatages des activités de l'utilisateur, 35 Fig. 6 illustre schématiquement un modèle de chaîne Markov d'une séquence d'actions effectuées par l'utilisateur, 3047595 28 Fig. 7 est un organigramme schématique d'une méthode exemplaire de surveillance de l'authenticité d'un l'utilisateur, Fig. 8 est un profil de risque illustrant une pluralité de valeurs d'évaluation de risque lié à un élément spécifique et une probabilité de fraude, Fig. 9 illustre un système informatique exemplaire utilisé pour mettre en oeuvre la méthode décrite dans les présentes. 10 Les dessins et la description des dessins sont des exemples de l'invention et ne représentent pas l'invention en elle-même. Des signes de référence semblables renvoient à des éléments semblables dans toute la description des modes de réalisation. DESCRIPTION DES MODES DE RÉALISATION 15 Une vue d'ensemble d'un système exemplaire de serveur distribué 5 qui est agencé pour exécuter une méthode exemplaire de surveillance de l'authenticité de l'utilisateur comme l'illustre la fig. 1. Les serveurs 1, l', 1", 2, 3 et 4 comprennent chacun un ou plusieurs processeurs et une mémoire non volatile comprenant un ou plusieurs programmes informatiques contenant des instructions exécutables pour une 20 méthode de surveillance de l'authenticité d'un l'utilisateur pendant les activités de l'utilisateur lors d'une session de l'utilisateur sur au moins un des serveurs d'application 1, 1', 1". La ligne verticale en pointillés illustre une séparation physique spatiale du serveur d'application 1 à partir des autres serveurs 2, 3 et 4. Les instructions exécutables, lorsqu'elles sont exécutées par le processeur (s) de tout serveur 1, 2, 3 ou 4, amènent le processeur (s) des serveurs 1, 2, 3, 4 à effectuer la méthode exemplaire 25 décrite dans ce qui suit : Un daemon (non représenté), en cours d'exécution sur au moins un serveur d'application 1, 1', 1", poussent les données du log d'application 60 vers un moteur d'apprentissage 22 en cours d'exécution sur le serveur de modèles d'utilisateur 2. Les données du log d'application 60 comprennent des 30 informations sur les activités que l'utilisateur effectue sur l'application (s), qui sont données par un code applicatif 11. La méthode décrite peut être effectuée pour une pluralité d'applications différentes 11 en cours d'exécution sur un seul serveur 1, 1', 1" ou une combinaison de ceux-là. Par souci de simplicité, la 35 méthode est expliquée dans cette description de modes de réalisation pour un serveur d'application 1 et les activités que l'utilisateur effectue sur une application 11 en cours d'exécution sur le serveur d'application 1. 3047595 29 Le serveur de modèles d'utilisateur 2 est connecté au serveur d'application 1 par l'intermédiaire d'un réseau, tel qu'Internet, un réseau local (LAN) ou un réseau métropolitain de zone (MAN), un réseau étendu (WAN) ou autre. Le moteur d'apprentissage 22 comprend un module d'extraction d'éléments 23 5 et un module de modélisation des activités 24. Le module d'extraction 23 analyse les données du log d'application 60 en utilisant diverses techniques automatiques d'analyse de log, afin d'en extraire les éléments pertinents pour adapter un modèle d'utilisateur existant 25 qui réside sur le serveur de modèles d'utilisateur 2. Les éléments extraits comprennent par exemple, une séquence d'actions effectuées par l'utilisateur, les infos utilisateur 81, telles que l'information relative aux bureaux ou à l'entreprise, l'info 10 temps 82 sous forme de temps de connexion, par exemple l'horodatage d'une requête de connexion de l'utilisateur, les durées de session 83, l'info client 84 et les origines des requêtes de l'utilisateur 85. Les éléments extraits sont transmis au module de modélisation d'activité 24 qui adapte le modèle d'utilisateur existant 25 selon les éléments extraits. Le modèle d'utilisateur existant 25 est adapté en 15 adaptant des modèles d'activité d'utilisateurs, liés à un élément spécifique, 26 associés avec les éléments extraits comme le montrent les figures 3a et 3b. Les modèles d'activité d'utilisateur, liés à un élément spécifique, 26 sont par ailleurs utilisés comme apport pour le moteur d'évaluation de risque 21 qui réside aussi sur le serveur de modèles d'utilisateur 2. Le moteur d'évaluation de risque 21 est adapté aux modèles d'activité de l'utilisateur, liés à un élément spécifique, 26 en adaptant par exemple, un poids 20 des valeurs d'évaluation de risque lié à un élément spécifique 70 dans une technique d'analyse de décision à critères multiples (MCDA), pour combiner les valeurs d'évaluation de risque lié à un élément spécifique 70 à une valeur totale unique d'évaluation de risque 71. Les valeurs d'évaluation de risque lié à un élément spécifique 70 peuvent être obtenues sur la base des modèles d'activité de l'utilisateur, liés à un élément spécifique, 26. 25 Tous deux : le modèle d'utilisateur 25 (adapté) et le moteur d'évaluation de risque (adapté) 21, sont répliqués côté application, par exemple, ils sont copiés sur le réseau à partir du serveur de modèles d'utilisateur 2 sur le serveur d'application 1. Côté application, à la droite de la ligne verticale en pointillés de la fig. 1, l'activité la plus récente de l'utilisateur est enregistrée dans un log. Le moteur 30 d'évaluation de risque répliqué 17 compare les éléments extraits du log avec le modèle d'utilisateur répliqué 16, plus précisément avec les modèle d'activité d'utilisateur, liés à un élément spécifique, 26 compris dans le modèle d'utilisateur répliqué 16. De cette façon, le moteur d'évaluation de risque répliqué 17 obtient des valeurs d'évaluation de risque lié à un élément spécifique 70 et les combine selon le poids de ces valeurs à une valeur totale d'évaluation de risque 71. 35 La valeur totale d'évaluation de risque 71 est comparée à un seuil donné par une application de contrôle d'accès 14 qui est connectée à l'application par une interface de contrôle d'accès à l'application 15. Le 3047595 30 seuil donné est défini dans une antémémoire de règles 12, répliqué à partir d'une antémémoire de règles 42 construites à l'origine sur un serveur de règles 4. Lorsque la valeur totale d'évaluation de risque 71 dépasse le seuil donné par l'antémémoire de règles 12, l'application de contrôle d'accès 14 déclenche une action corrective 72 qui est prédéfinie dans l'antémémoire de règles 12. L'action 5 corrective 72 dépend de l'actuelle valeur totale d'évaluation de risque 71, et par conséquent, du seuil dépassé. L'action corrective 72 déclenchée est effectuée par exemple, par un module d'actions correctives 34 sur un serveur de connexion et de sécurité 3. L'action corrective 72 est l'une des actions suivantes : (i) la fenneture de la session de l'utilisateur (ii) une demande d'authentification basée sur deux critères (iii) le verrouillage de l'utilisateur, et (iv) le déclenchement d'une fonction d'alerte. Pour 10 donner un exemple, il y a trois seuils correspondant chacun à une action corrective différente 72. Lorsque la valeur totale d'évaluation de risque 71 est supérieure à un premier seuil, une authentification basée sur deux critères est demandée à l'utilisateur ; si la valeur totale d'évaluation de risque 71 est supérieure à un second seuil, l'utilisateur est déconnecté de la session, alors que lorsque la valeur totale d'évaluation de risque 71 est supérieure à un troisième seuil, l'utilisateur est verrouillé. 15 Cependant, l'action corrective 72 peut aussi être déclenchée par l'application de contrôle d'accès 14, quand un certain modèle d'élément est détecté dans les activités de l'utilisateur qui correspond à un modèle d'élément prédéfini stocké dans l'antémémoire de règles 12. Par conséquent, des actions de l'utilisateur provoquent une certaine action corrective 72, quelle que soit la valeur totale d'évaluation 20 de risque 71. Les modèles d'éléments prédéfinis sont définis par exemple, par un technicien en analyse de risque sur les règles du serveur 4 et sont exportés sur l'antémémoire de règles 12 sur le serveur d'application 1 après la définition du modèle d'élément. Lorsque la valeur totale d'évaluation de risque 71 est inférieure aux seuils donnés, aucune action 25 corrective 72 n'est appliquée et un nouveau log de données 60 comprenant les activités enregistrées de l'utilisateur lors de la session de l'utilisateur est transmis au moteur d'apprentissage 22 à la fin de la session, par exemple lorsque l'utilisateur s'est déconnecté de l'application. Le modèle d'utilisateur 25 est à nouveau adapté aux éléments extraits du log de données 60 comme décrit ci-dessus. De cette façon, l'authenticité de l'utilisateur est vérifiée et le modèle d'utilisateur 25 ainsi que le moteur d'évaluation 30 de risque 21 sont adaptés aux activités de l'utilisateur lors de la session de l'utilisateur, de session en session. Une extraction schématique d'éléments à partir du log de données 60 d'une application spécifique est illustrée dans la Fig. 2. Les éléments sont extraits du log de données 60' d'une application dans lequel 35 les activités de l'utilisateur sont enregistrées pendant la session d'utilisateur. Les éléments extraits comprennent par exemple, les activités 80 effectuées par l'utilisateur, par exemple, une séquence d'actions effectuées par l'utilisateur. Un autre exemple d'élément extrait est l'information relative à 3047595 31 l'utilisateur 81 telle que l'information relative aux bureau/entreprise, l'info temps 82 sous forme d'heures de connexion, par exemple l'horodatage de la requête de connexion de l'utilisateur. Par ailleurs les durées de session 83, par conséquent le temps de l'enregistrement de log 60 comme élément. D'autres exemples d'éléments incluent l'information client 84, comme le type de navigateur internet utilisé, le type d'ordinateur utilisé ou le système d'exploitation utilisé, etc., et l'origine des requêtes d'utilisateur 85 fournie par exemple, par les adresses IP des requêtes mi' de la région à laquelle une adresse IP peut être associée. Les éléments sont extraits des données de log 60' en analysant par exemple un enregistrement de log 60 10 avec divers algorithmes d'analyse et par la reconstruction de la session de l'utilisateur en séquençant les informations amassées avec les algorithmes d'analyse de façon à ce que l'information analysée reflète les activités successives effectuées par l'utilisateur lors de l'utilisation de l'application. Le séquencement peut être basé sur les horodatages ou sur des conditions logiques reliant les actions. Le fait qu'un utilisateur ne peut payer qu'après avoir été redirigé vers une application bancaire procure un 15 exemple d'une telle condition logique. La reconstruction de la session de l'utilisateur est ci-après dénommée comme la session de suivi de l'utilisateur 61 (non représentée dans la fig. 2). Un diagramme bloc schématique d'une méthode exemplaire de surveillance de l'authenticité de l'utilisateur avec une valeur d'évaluation de risque unique pour chaque élément et une combinaison à 20 une étape des valeurs d'évaluation de risque lié à un élément spécifique 70 en utilisant les techniques MCDA, est représenté dans la fig. 3a. Dans une première activité, le log (s) d'application 60 obtenu d'une ou de plusieurs applications sur le serveur d'application 1 est utilisé pour reconstruire la session (s) de l'utilisateur avec le suivi de session 25 d'utilisateur 61, comme décrit ci-dessus. Dans la méthode exemplaire illustrée par la fig. 3a, trois éléments différents sont extraits : 1. L'origine 85 de l'activité de l'utilisateur, par exemple l'adresse IP d'une requête HTTP ; 2. L'info temps 82, c'est-à-dire l'horodatage des connexions de l'utilisateur ; 30 3. La durée 83, c'est-à-dire la durée de la session de l'utilisateur. Les modèles d'activité d'utilisateur, liés à un élément spécifique, 26 associés à ces éléments sont adaptés en fonction de la valeur de ces trois éléments exemplaires extraits. L'origine de l'activité de rutilisateur peut être modélisée en associant des probabilités de régions géographiques, c'est-à-dire des pays, des 35 districts, ou autres selon la fréquence à laquelle l'utilisateur effectue une activité provenant de ces régions, par exemple lorsque l'utilisateur envoie une requête à partir d'une ville particulière. L'horodatage des connexions de l'utilisateur peut être modélisé par une fonction de distribution, par 3047595 32 exemple un modèle de mélange Gaussien de ces horodatages, comme le montre la fig. 5. Les durées anticipées de session sont modélisées, par exemple, par le mappage des durées de session calculées aux valeurs de moyenne des durées de session, en dérivant un quantile supérieur de durées de session après avoir trouvé une probabilité de distribution des durées de session, etc. Ces modèles d'activité d'utilisateur; liés à un élément spécifique, 26 sont adaptés aux nouvelles valeurs d'éléments acquises (les valeurs d'éléments extraites des données de log 60') en modifiant des ensembles de données existants et en dérivant de nouvelles distributions sur la base de nouveaux ensembles de données. Le résultat est les trois modèles adaptés d'activité liée à un élément spécifique 10 de la fig. 3a indiqués par les cases «UBM 1 », «UBM 2 », et «UBM 3 ». Ces modèles d'activité d'utilisateur, liés à un élément spécifique, 26 sont utilisés comme apport pour le moteur d'évaluation de risque 21, montré dans la fig. 1. Le moteur d'évaluation de risque 21 compare les activités en cours effectuées par l'utilisateur lors d'une session de l'utilisateur avec les modèles 15 d'activité de l'utilisateur, liés à un élément spécifique, 26. Cette comparaison permet de générer un nombre indiquant une probabilité que l'activité de l'utilisateur actuel ne soit pas réellement effectuée par l'utilisateur qui le modèle d'utilisateur 25 appartient et donc la probabilité d'une fraude. Ces nombres sont les valeurs d'évaluation de risque lié à un élément spécifique 70 ; un pour les horodatages de connexion (info temps 82), un pour l'origine des activités (origine 85) et un autre pour les durées des 20 sessions (durée 83). Ces nombres sont typiquement normalisés entre 0 et 1. Ces valeurs d'évaluation de risque lié à un élément spécifique 70 sont combinées 67par une technique MCDA pour obtenir une valeur totale d'évaluation de risque 71. Par exemple une moyenne ordonnée doublement pondérée (WOWA) est utilisée où la valeur d'évaluation de risque lié à un élément 25 spécifique 70 associée aux origines des activités de l'utilisateur et la valeur d'évaluation de risque lié à un élément spécifique 70 associée aux horodatages de connexion sont pondérées à un niveau deux fois pfus élevé que la valeur d'évaluation de risque lié à un élément spécifique 70 associée avec la durée des sessions. 30 Un diagramme bloc schématique d'une méthode exemplaire de surveillance de l'authenticité de l'utilisateur avec une seule valeur d'évaluation de risque lié à un élément spécifique 70 pour chaque élément et une combinaison à deux étapes des valeurs d'évaluation de risque lié à un élément spécifique 70 en utilisant les techniques MCDA, est représenté dans la Fig. 3b. Comme illustré par la fig. 3a, les modèles d'activité d'utilisateur élément spécifique26 sont modélisés à partir des éléments extraits. 35 Comme indiqué par les flèches connectées par une barre commune qui conduit à une pluralité de valeurs d'évaluation de risque lié à un élément spécifique 70, chaque valeur d'évaluation de risque lié à un 3047595 33 élément spécifique 70 associée avec un modèle d'activité lié à un élément spécifique26 est calculée par le moteur d'évaluation de risque 17. Dans la méthode exemplaire illustrée par la fig. 3 b, les valeurs d'évaluation de risque lié à un élément spécifique 70 sont précombinées aux valeurs d'évaluation de risque 70', par exemple des sous-groupes de valeurs d'évaluation de risque lié à un élément spécifique 5 70 liées de façon fonctionnelle. Pour donner un exemple, une valeur d'évaluation de risque lié à un élément spécifique 70 associée avec l'information spécifique au client, tel que le système d'exploitation utilisé et une valeur d'évaluation de risque lié à un élément spécifique 70 associée avec le navigateur web utilisé et le type d'ordinateur utilisé (tablette, ordinateur personnel PC, smartphone, etc.) sont précombinées via une moyenne ordonnée pondérée à une valeur précombinée d'évaluation de risque 70' 10 associée avec l'information client (info client 84), comme le montre la fig. 4. Par aille-tirs et à titre d'exemple, la valeur d'évaluation de risque lié à un élément spécifique 70 associée avec les origines de l'activité de l'utilisateur (origines 85) et la valeur d'évaluation de risque lié à un élément spécifique 70 associée avec le bureau ou l'identifiant d'entreprise sont précombinées avec l'origine et le bureau en utilisant une intégrale de Choquet. Une troisième valeur d'évaluation de risque 70' associée avec les 15 heures de connexion spécifique de l'utilisateur et les durées de session est obtenue en calculant une moyenne pondérée de la valeur(s) d'évaluation de risque lié à un élément spécifique 70 associée avec les heures de connexion et la valeur d'évaluation de risque à élément spécifique 70 associée à la durée de la session. 20 Ces trois valeurs exemplaires précombinées d'évaluation de risque 70' sont combinées 68 en une valeur totale d'évaluation de risque 71 par une technique MCDA telle qu'une moyenne ordonnée doublement pondérée. Un diagramme bloc schématique d'une méthode exemplaire de surveillance de l'authenticité d'un 25 l'utilisateur, avec deux valeurs d'évaluation de risque lié à un élément spécifique 70 résultant de deux modèles différents d'activité de l' lié à un élément spécifique26 pour chaque élément, est une combinaison à deux étapes des valeurs d'évaluation de risque lié à un élément spécifique 70, en utilisant la technique MCDA est illustré par la fig. 3c. 30 Dans la méthode exemplaire montrée par la Fig. 3c, les valeurs d'évaluation de risque lié à un élément spécifique 70 sont obtenues en appliquant diverses méthodes statistiques et/ou modèles d'appréciation (dans le contexte de la fig. 3c, aussi désignés comme des modèles d'activité d'utilisateur, liés à un élément spécifique, 26) à certains éléments extraits. Par exemple, une valeur d'évaluation de risque lié à un élément spécifique 70 est obtenue en calculant la différence entre une durée de session actuelle 35 (extraite) avec une valeur moyenne des durées des 100 dernières sessions, alors qu'une autre valeur d'évaluation de risque lié à un élément spécifique 70 est obtenue en comparant la durée de session extraite à une médiane de durée, par exemple en calculant la différence entre la durée de la session en 3047595 34 cours et la médiane, et la direction de la déviation par rapport à la médiane (vers des valeurs plus élevées ou à des valeurs plus basses). Ces deux valeurs d'évaluation de risque lié à un élément spécifique 70 pour la durée de session, sont précombinées avec une valeur précombinée d'évaluation de risque lié à un élément spécifique 70' associée avec la durée de session (comparer à la durée de fonction 83). Par 5 exemple, les séquences d'action sont aussi rapportées par deux modèles différents d'évaluation de risque lié à un élément spécifiqud 26 à deux valeurs d'évaluation de risque lié à un élément spécifique 70 qui y sont associées. Une valeur d'évaluation de risque lié à un élément spécifique 70 pourrait être obtenue en prenant le 10 complément d'une probabilité Markov de la séquence d'actions alors qu'une valeur d'évaluation de risque lié à un élément spécifique 70 pourrait être obtenue par une technique basée sur la similarité, par exemple en calculant la différence entre un vecteur d'éléments contenant les actions successives actuellement extraites à un centroïde de vecteurs d'éléments précédents d'actions successives. Ces deux valeurs d'évaluation de risque lié à un élément spécifique 70 associées avec la séquence d'actions sont 15 précombinées, par exemple, par une intégrale de Choquet, en une valeur précombinée d'évaluation de risque 70'. Par exemple, les origines des activités de l'utilisateur sont rapportées à deux valeurs d'évaluation de risque lié à un élément spécifique 70 qui sont obtenues en utilisant deux techniques de modélisation différentes. Un modèle représentant un centroïde des 100 dernières origines des requêtes de l'utilisateur (désigné dans les présentes comme modèles d'activité d'utilisateur élément 20 spécifique 26) est utilisé, par exemple, pour calculer les différences entre une origine en cours (extraite) de l'activité de l'utilisateur et un centroïde des 100 dernières origines des requêtes de l'utilisateur (représentant les activités de l'utilisateur) et la mappe à une valeur d'évaluation de risque lié à un élément spécifique 70. Un autre modèle compare par exemple l'origine (extraite) actuelle avec une distribution statistique des origines des activités de l'utilisateur et obtient la valeur d'évaluation de risque lié à un 25 élément spécifique 70 comme complément de la probabilité de l'origine actuelle selon la distribution statistique. Ces deux valeurs d'évaluation de risque lié à un élément spécifique 70 sont précombinées par exemple à une valeur d'évaluation de risque 70' par une moyenne pondérée. Les valeurs précombinées d'évaluation de risque 70' sont ensuite combinées à l'étape 68 pour obtenir 30 une valeur totale d'évaluation de risque 71. Les valeurs individuelles précombinées d'évaluation de risque 70 peuvent aussi être pondérées avant la combinaison 68. Une combinaison exemplaire de valeurs d'évaluation de risque lié à un élément spécifique 70 et/ou de valeurs précombinées d'évaluation de risque 70' à une valeur totale d'évaluation de risque 71 est 35 illustrée par la fig. 4. Une valeur d'évaluation de risque lié à un élément spécifique 70, associée à une séquence d'actions 3047595 35 (activité 80), est déterminée. Une valeur précombinée d'évaluation de risque associée à l'info client 81 (identifiant d'entreprise, identifiant de bureau, etc.) est également déterminée par une moyenne ordonnée pondérée des valeurs d'évaluation de risque lié à un élément spécifique 70 associées avec l'identifiant bureau, l'identifiant d'entreprise, et le pays. Par ailleurs, une valeur d'évaluation de risque 5 lié à un élément spécifique 70 associée avec l'info temps 82, représentant dans cet exemple les heures de connexion, ainsi qu'une valeur d'évaluation de risque lié à un élément spécifique 70 associée avec la durée 83, représentant dans cet exemple la durée des sessions sont déterminées. Une autre moyenne ordonnée pondérée des valeurs d'évaluation de risque lié à un élément spécifique 70 associée au système d'exploitation et au navigateur internet des clients, est déterminée. Cette moyenne ordonnée pondérée 10 est une valeur précombinée d'évaluation de risque 70' associée avec l'info client 84. Une autre valeur d'évaluation de risque lié à un élément spécifique 70 associée avec les origines des activités de l'utilisateur (origines 85) est aussi déterminée. Les valeurs d'évaluation de risque lié à un élément spécifique 70 mentionnées ci-dessus et les valeurs 15 d'évaluation de risque précombinées 70' sont combinées à une valeur totale d'évaluation de risque 71 par une moyenne ordonnée doublement pondérée de ces valeurs. La position des valeurs d'évaluation de risque lié à un élément spécifique 70 et des valeurs précombinées d'évaluation de risque 70' de cette moyenne ordonnée doublement pondérée est indiquée par des lettres sous les flèches pointant vers la moyenne ordonnée doublement pondérée. Par conséquent la valeur d'évaluation de risque lié à un 20 élément spécifique 70 associée avec l'activité 80 étiquetée « a » est le premier opérande de la moyenne ordonnée doublement pondérée et la valeur précombinée d'évaluation de risque 70' associée avec l'info client 84, étiquetée « e » est le dernier opérande de cette moyenne ordonnée doublement pondérée. Un modèle de mélange Gaussien d'une probabilité de distribution des horodatages des activités de 25 l'utilisateur est procuré par la fig. 5. Le modèle de mélange Gaussien est un exemple de modèle d'activité lié à un élément spécifique26 associé avec les horodatages des activités de l'utilisateur. L'activité exemplaire de l'utilisateur exemplaire évaluée dans le diagramme de la fig. 5 est,un temps de connexion, c'est à dire le moment précis dans le temps lorsque l'utilisateur se connecte sur le serveur d'application 1. 30 Le diagramme représenté dans la Fig. 5 illustre le rapport de l'horodatage à la probabilité. L'axe de temps couvre 24 heures au total. La probabilité qu'un utilisateur se connecte dans un certain intervalle de 0,5 h, par exemple 20 h 30, est illustrée par les barres de la fig. 5. Un modèle de mélange Gaussien consistant par exemple d'un mélange de dix distributions Gaussiennes avec des valeurs attendues 35 différentes et des déviations standard différentes ajustées aux barres, est représenté par la courbe en pointillés qui passe sur les barres. 3047595 36 Une connexion actuelle dans l'intervalle de temps 14 h et 14 h 30 est désignée par une marque connectée à l'axe d'horodatage et à l'axe de probabilité dans la courbe de mélange Gaussien. Par conséquent une probabilité de 0,05 est associée à cette connexion. Le complément de cette probabilité (0,95) peut être utilisé par exemple, comme la valeur d'évaluation de risque lié à un élément spécifique 70 associée avec les horodatages, c'est-à-dire les heures de connexion de l'utilisateur. Un modèle exemplaire de chaîne Markov d'une séquence d'actions (80) des activités effectuées par l'utilisateur est illustré par la fig. 6. Quatre états différents correspondant aux activités exemplaires effectuées par l'utilisateur, sont représentés par des formes quadratiques «A », « B », « C » et «D ». Les 10 transitions entre ces états sont indiquées par des flèches pointant d'un état à un autre. Trois probabilités exemplaires de transition, c'est-à-dire la probabilité qu'une transition particulière est en cours, à savoir «PA, g », «PD, c », et «PD, D» sont étiquetées respectivement sous les flèches illustrant les transitions. Ces probabilités de transition, peuvent être par exemple, «PA. g » = 0,2, «PD, c» = 0,4, et «PD, D» = 0,1. 15 L'état « D » peut par exemple, être une entrée de mot de passe de l'utilisateur lorsqu'il se connecte à une application, telle qu'une application de réservation. Une probabilité de transition de l'état « D » de retour vers l'état «D » correspond donc à la probabilité que le même utilisateur rentre son mot de passe à nouveau, par exemple, à cause d'une faute de frappe. L'état «A », par exemple, peut représenter un changement de mot de passe, alors que l'état « C » peut représenter un changement de nom d'utilisateur. 20 L'état «B », peut représenter une demande d'envoi de mot de passe de l'utilisateur à l'adresse e-mail enregistrée de l'utilisateur. La somme de toutes les probabilités de transition d'un état à un autre ou plusieurs autres états ou de retour à l'état lui-même est unité. La probabilité d'un certain cheminement des états, par exemple de l'état « D » à l'état « A » par 25 l'intermédiaire de l'état « C » est donnée par le produit des probabilités de transitions individuelles «D ». à « C » et « C » à « A ». Un organigramme exemplaire du déroulement d'un processus de la méthode exemplaire de surveillance de l'authenticité d'un l'utilisateur est illustré par la fig. 7. Les formes rectangulaires en pointillés, qui 30 entourent différentes étapes du processus décrit (voir les étapes 100, 102, 103, 104, 107, et 109), représentent un serveur sur lequel les étapes respectives sont effectuées. À l'étape 100, les activités de l'utilisateur sur le serveur 1 sont enregistrées dans un enregistrement de log 60. Les données de log 60' comprenant les activités de l'utilisateur sont poussées du serveur d'application I au serveur de modèles d'utilisateur 2, comme l'indique l'étape 101. Sur le serveur de modèles d'utilisateur 2, trois étapes 35 différentes sont effectuées, à savoir les étapes 102, 103 et 104, comme indiqué par la forme rectangulaire en pointillés étiquetée «2 ». Dans l'étape 102, les éléments sont extraits du log de données 60' et dans l'étape 103 un modèle d'utilisateur existant 25 est mis à jour en incluant les éléments nouvellement 3047595 37 extraits dans le modèle d'utilisateur 25. Le moteur d'évaluation de risque 21 est également adapté dans l'étape 104 en changeant le poids de valeurs particulières d'évaluation de risque lié à un élément spécifique 70 dans une formule de calcul de la valeur totale d'évaluation de risque 71, selon les éléments nouvellement acquis. Cela est accompli par exemple, en diminuant le poids de la valeur d'évaluation de risque lié à un élément spécifique devant être déterminée (côté application) associée avec le système d'exploitation lorsque les valeurs des éléments extraits indiquent que l'ordinateur client a été modifié. Comme indiqué par les étapes 105 et 106, le modèle d'utilisateur adapté 25 et le moteur d'évaluation de risque adapté 21 sont copiés à partir du serveur de modèles d'utilisateur 2 sur le serveur d'application 1. 10 Sur le serveur d'application 1, l'activité en cours de l'utilisateur est conservée dans un log et les valeurs d'éléments associés à ces activités sont comparées avec les modèles respectifs d'activité liée à un élément spécifique26 par le moteur d'évaluation de risque 21 dans l'étape 107. Le résultat de cette comparaison des valeurs d'évaluation de risque lié à un élément spécifique 70 est obtenu et combiné à une valeur d'évaluation de risque 71, en utilisant une technique MCDA. Dans l'étape 108, la valeur 15 totale d'évaluation de risque 71 est comparée avec un seuil donné obtenu à partir de l'antémémoire de règles 12 (illustré dans la fig. 1). Tant que la valeur totale d'évaluation de risque 71 ne dépasse pas le seuil donné pendant une session d'utilisateur, la méthode de surveillance de l'authenticité de l'utilisateur continue en effectuant les étapes 100 à 108 à la fin de la session d'utilisateur. Lorsque la valeur totale d'évaluation de risque 71 dépasse un seuil donné pendant une session d'utilisateur, l'exécution d'une 20 action corrective 72 est demandée par un module de contrôle d'accès 14 sur le serveur d'application 1. Sur ce, l'action corrective 72 est effectuée par le module d'action corrective 34 sur le serveur de connexion et de sécurité 3. Selon le seuil spécifique qui a été dépassé par la valeur totale d'évaluation de risque 71, une des actions correctives 72 suivantes est sélectionnée : (i) la fermeture de la session de l'utilisateur (ii) une demande d'authentification basée sur deux critères (iii) le verrouillage de 25 l'utilisateur, et (iv) le déclenchement d'une fonction d'alerte. Un profit utilisateur illustrant une pluralité de modèles d'activité d'utilisateur, liés à un élément spécifique, 26 produisant une probabilité de fraude est illustré par la fig. 8. Dans le profil d'utilisateur représenté par la Fig. 8, diverses valeurs d'éléments et de probabilité pour certaines valeurs d'éléments 30 sont affichées. Dans une première section du profil de l'utilisateur, une valeur d'évaluation de risque 70 de 0,87, associée avec une séquence d'actions est affectée à une première séquence d'actions, à savoir : « Rechercher utilisateur » -)« Afficher utilisateur» -)« Fermer onglet », alors qu'une valeur 35 d'évaluation de risque lié à un élément spécifique 70 de 0,52 est affectée à une seconde séquence d'actions, à savoir : « Afficher application » -)« GérerAppRole ». 3047595 38 Dans une seconde section du profil de l'utilisateur, les probabilités associées avec les origines 85 des activités de l'utilisateur sont affichées. La probabilité qu'une activité de cet utilisateur particulier soit émise à partir de la France est de 100 %. La probabilité que la source IP pour cet utilisateur soit 172.16.252.183 est donnée à 81 %. Dans une troisième section du profil de l'utilisateur, les probabilités associées avec l'ordinateur client utilisé sont listées. La probabilité qu'un système d'exploitation Windows 7® soit utilisé est donnée à 100 %. La probabilité que le navigateur Internet Explorer 9® soit utilisé par l'utilisateur est donnée à 95 %, alors que la probabilité que Firefox 3® soit utilisé comme navigateur intemet est donnée à 5 %. 10 Par ailleurs, la probabilité que l'agent utilisateur soit Mozilla/4.0® (compatible ; MSIE 7.0...) obtenue est de 95 %. Dans une quatrième section du profil de l'utilisateur, les données des durées de session de l'utilisateur sont données : la durée moyenne de session est de 18 min, la médiane de la durée de session est 8 min, 15 et également le temps pendant lequel la durée de session est dans le quantile supérieur (proche des 75 % d'une probabilité de distribution représentant les durées de session), sont obtenues et stockées dans le profil de l'utilisateur. Dans une cinquième section du profil de l'utilisateur, les probabilités pour certains identifiants de bureau 20 et d'entreprises sont obtenues et stockées. La probabilité que les activités de l'utilisateur aient comme identifiant de bureau «NCE1A0995 » est de 80 %, alors que la probabilité que les activités de l'utilisateur ont comme identifiant de bureau «NCE1A0955 » est de 20 %. La probabilité que les activités de l'utilisateur soient associées avec l'entreprise « 1 A » est de 100 %. 25 En tout, lorsque le profil de l'utilisateur est comparé avec les activités de l'utilisateur en cours et qu'il est évalué, par exemple le profil de l'utilisateur donne une valeur totale d'évaluation de risque de 0,28 (risque faible) pour la date 23/12/2014 à 10 h 45 min 34 s et une valeur totale d'évaluation de risque 71 de 0,92 (risque élevé) pour la date 2015-01-12 à 3 h 14 min 10 s. 30 Une représentation schématique d'un système informatique exemplaire 500 est montrée dans la fig. 9. Le système informatique 500 est agencé pour exécuter un ensemble d'instructions 510 qui amènent le système informatique 500 à effectuer l'une des méthodologies utilisées pour la méthode de surveillance de l'authenticité de l'utilisateur pendant les activités de l'utilisateur lors d'une session de l'utilisateur sur au moins un serveur d'application 1, comme cela a été décrit dans les présentes. Le serveur 35 d'application 1, le serveur de modèles d'utilisateur 2, le serveur de connexion et de sécurité 3, et le serveur de règles 4, sont réalisés par exemple comme le système informatique 500. 3047595 39 Le système informatique 500 comprend un processeur 502, une mémoire principale 504 et une interface de réseau 508. La mémoire principale 504 comprend un espace d'utilisateur 504', qui est associé avec les applications exécutées par l'utilisateur, et un espace noyau 504', qui est réservé pour un système d'exploitation et les applications associées au matériel. Le système informatique 500 inclut par ailleurs 5 une mémoire statique 506, par exemple flash non amovible et/ou un disque électronique et/ou une carte SD micro ou mini amovible, qui stocke de façon permanenCe le logiciel permettant au système au système informatique 500 d'exécuter des fonctions du système informatique 500. Par ailleurs, il peut inclure un affichage vidéo 503, un module d'interface utilisateur de contrôle 507 et/ou un dispositif d'entrée alphanumérique et un dispositif de pointage 505. En option, des interfaces supplémentaires 10 d'1/0 509, tels que des interfaces de lecteur de carte et USB peuvent être présents. Les composants du système informatique 502 sont interconnectés par un bus de données 501. Dans certains modes de réalisation exemplaires, le logiciel, programmé pour mettre en oeuvre la méthode décrite dans les présentes, est stocké dans la mémoire statique 506 ; dans d'autres modes de réalisation exemplaires, des bases de données externes sont utilisées. 15 Un ensemble d'instructions exécutables (par exemple le logiciel) 510 faisant partie de l'une ou de toutes les méthodologies présentées ci-dessus, réside entièrement, ou au moins partiellement, de façon permanente dans la mémoire non volatile 506. Pendant l'exécution, les données du processus résident dans la mémoire principale 504 et/ou dans le processeur 502. 20