Brevet FR3047594A1 (20170811)
REVENDICATIONS:\n<CLM>\1\tUne méthode de surveillance de l'authenticité d'un utilisateur pendant les activités de l'utilisateur lors des sessions de l'utilisateur sur au moins un serveur d'application, la méthode étant effectuée par un ou plusieurs processeurs qui exécutent des instructions stockées sur une mémoire non volatile, les instructions lorsqu'elles sont exécutées amènent le processeur (s) à : effectuer un processus de modélisation de l'utilisateur dans lequel un modèle d'utilisateur existant est adapté aux activités de l'utilisateur session par session, le modèle d'utilisateur comprenant une pluralité de modèles adaptatifs d'activité d'utilisateur, liés à un élément spécifique, les modèles d'activité d'utilisateur, liés à un élément spécifique, étant associés à des éléments indicatifs de l'activité de l'utilisateur, dans laquelle le modèle d'utilisateur est adapté sur un serveur de modèles d'utilisateur sur la base de l'activité de l'utilisateur associée avec différentes applications sur le serveur d'application, dans laquelle le modèle d'utilisateur est répliqué à partir du serveur de modèles d'utilisateur sur le serveur d'application, effectuer un processus de vérification de l'utilisateur comprenant : la détermination d'une pluralité de valeurs d'évaluation de risque lié à un élément spécifique, où la détermination d'une valeur d'évaluation de risque lié à un élément spécifique dans la pluralité de valeurs d'évaluation de risque lié à un élément spécifique comprend la comparaison d'au moins un modèle adaptatif d'activité d'utilisateur, lié à un élément spécifique, avec un élément respectif extrait d'au moins une activité lors d'une session d'utilisateur sur le serveur d'application, dans laquelle la dernière activité de l'utilisateur est enregistrée dans un log et les éléments extraits du log sont comparés avec au moins un modèle d'activité d'utilisateur lié à un élément spécifique par un moteur d'évaluation de risque, dans laquelle le moteur d'évaluation de risque, qui réside aussi sur le serveur de modèles d'utilisateur, est adapté aux modèles d'activité d'utilisateur, liés à un élément spécifique et le moteur d'évaluation de risque adapté est copié sur le réseau à partir du serveur de modèles d'utilisateur sur le serveur d'application, la détermination d'une valeur totale d'évaluation de risque indicative de la non-authenticité de l'utilisateur, où la détermination d'une valeur totale d'évaluation de risque comprend a) la pondération et la combinaison de la pluralité de valeurs d'évaluation de risque lié à un élément spécifique, ou b) la pondération et la combinaison de valeurs précombinées d'évaluation de risque étant déterminées par la combinaison d'une portion de la pluralité de valeurs d'évaluation de risque lié à un élément spécifique en utilisant l'analyse de décision à critères multiples [MCDA1, dans laquelle la valeur totale de risque est déterminée 3047594 sur le serveur d'application en utilisant le modèle d'utilisateur répliqué et le moteur d'évaluation de risque copié, lorsque la valeur totale d'évaluation de risque dépasse un certain seuil, la mise en oeuvre d'une action corrective, comprenant au moins une des actions suivantes : (i) la fermeture 5 de session de l'utilisateur (ii) une demande d'authentification basée sur deux critères (iii) le verrouillage de l'utilisateur, et (iv) le déclenchement d'une fonction d'alerte.\n<CLM>\1\tLa méthode selon la revendication 1, dans laquelle le modèle d'activité de l'utilisateur comprend des modèles adaptatifs, liés à un élément spécifique qui sont spécifiques aux différentes 10 applications.\n<CLM>\1\tLa méthode selon l'une quelconque des revendications 1 à 2, dans laquelle la pluralité des éléments extraits à partir de l'activité de l'utilisateur lors de la session de l'utilisateur, comprend au 15 moins une des données suivantes : origines de l'activité de l'utilisateur, horodatages des activités, durées de session dans lesquelles les activités sont effectuées et au moins une des informations suivantes : l'info client, l'info bureau, et l'info entreprise.\n<CLM>\1\tLa méthode selon la revendication 3, dans laquelle un modèle d'activité d'utilisateur, lié à un 20 élément spécifique, associé aux horodatages des actions, comprend un modèle de mélange Gaussien des horodatages de l'activité de l'utilisateur.\n<CLM>\1\tLa méthode selon les revendications 3 ou 4, dans laquelle le calcul des valeurs d'évaluation de risque lié à un élément spécifique est associé avec les horodatages des activités de l'utilisateur 25 comprenant l'évaluation d'un complément de probabilité des horodatages, extrait à partir des actions de l'utilisateur, le complément étant pris à partir du modèle de mélange Gaussien.\n<CLM>\1\tLa méthode selon la revendication 3, dans laquelle le modèle d'activité d'utilisateur, lié à un élément spécifique, caractérisant la durée des sessions de l'utilisateur mappe la durée des sessions de 30 l'utilisateur à au moins l'une des données suivantes : (i) la moyenne mobile (ii) la médiane (iii) la déviation standard de la durée de session de l'utilisateur, et (iv) le quantile de la durée des sessions de l'utilisateur.\n<CLM>\1\tLa méthode selon la revendication 6, dans laquelle le calcul de la valeur d'évaluation de risque 35 lié à un élément spécifique associé avec la durée des sessions de l'utilisateur comprend le calcul de la différence entre la durée d'une session de l'utilisateur et au moins l'une des valeurs suivantes: (i) la moyenne mobile, (ii) la médiane des durées des sessions de l'utilisateur, et/ou la comparaison de la 3047594 41 durée d'une session de l'utilisateur avec des intervalles de confiance donnés par des multiples de la déviation standard.\n<CLM>\1\tLa méthode selon la revendication 1 ou 2, dans laquelle les éléments reflétant l'activité de 5 l'utilisateur comprennent une séquence d'actions effectuées par l'utilisateur.\n<CLM>\1\tLa méthode selon la revendication 8, dans laquelle le modèle d'activité d'utilisateur, lié à un élément spécifique, qui caractérise la relation entre les actions individuelles de la séquence d'actions, est un modèle de chaîne Markov. 10\n<CLM>\1\tLa méthode selon la revendication 9, dans laquelle le calcul de la valeur d'évaluation de risque lié à un élément spécifique associé avec la séquence d'actions effectuées par l'utilisateur comprend la détermination d'un complément de la probabilité Markov d'une séquence d'actions données extraites à partir des activités de l'utilisateur. 15\n<CLM>\1\tLa méthode de l'une quelconque des revendications I à 10, dans laquelle la combinaison des valeurs d'évaluation de risque lié à un élément spécifique comprend la pondération des valeurs d'évaluation selon leur probabilité respective de fraude. 20\n<CLM>\1\tLa méthode selon la revendication 11, dans laquelle les valeurs d'évaluation de risque lié à un élément spécifique sont combinées à la valeur totale d'évaluation de risque en utilisant l'analyse de décision à critères multiples (MCDA), l'analyse de décision à critères multiples comprenant la détermination d'au moins une moyenne ordonnée doublement pondérée, une moyenne ordonnée pondérée et une intégrale floue de ces valeurs. 25\n<CLM>\1\tLa méthode selon l'une quelconque des revendications 1 à 12, dans laquelle en réponse à la détection d'un certain modèle d'élément, quelle que soit la valeur totale du risque évalué, au moins l'une des actions suivantes est effectuée : une demande d'authentification basée sur deux critères, le verrouillage de l'utilisateur, la fermeture de session de l'utilisateur et le déclenchement d'une fonction 30 d'alerte.\n<CLM>\1\tUn système de serveur comprenant au moins un processeur et au moins une mémoire non volatile comprenant au moins un programme informatique contenant des instructions exécutables pour la surveillance de l'authenticité d'un utilisateur pendant les activités de l'utilisateur lors de sessions de 35 l'utilisateur sur au moins un serveur d'application, les instructions exécutables, lorsqu'elles sont exécutées par au moins un processeur amènent ledit processeur à: 3047594 42 effectuer un processus de modélisation de l'utilisateur dans lequel un modèle d'utilisateur existant est adapté aux activités de l'utilisateur session par session, le modèle d'utilisateur comprenant une pluralité de modèles adaptatifs d'activité d'utilisateur, liés à un élément spécifique, les modèles d'activité d'utilisateur, liés à un élément spécifique, étant associés à des éléments indicatifs de l'activité 5 de l'utilisateur, dans laquelle le modèle d'utilisateur est adapté sur un serveur de modèles d'utilisateur sur la base de l'activité de l'utilisateur associée avec différentes applications sur le serveur d'application, dans laquelle le modèle d'utilisateur est répliqué à partir du serveur de modèles d'utilisateur sur le serveur d'application, effectuer un processus de vérification de l'utilisateur comprenant 10 - la détermination d'une pluralité de valeurs d'évaluation de risque lié à un élément spécifique, où la détermination de valeurs d'évaluation de risque lié à un élément spécifique de la pluralité des valeurs d'évaluation de risque lié à un élément spécifique comprend la comparaison d'au moins un modèle adaptatif d'activité d'utilisateur, lié à un élément spécifique, avec un élément respectif extrait d'au moins une activité de 15 l'utilisateur lors une session de l'utilisateur sur le serveur d'application, associée avec au moins ledit élément, dans laquelle la dernière activité de l'utilisateur est enregistrée dans un log et les éléments extraits du log sont comparés avec au moins un modèle d'activité d'utilisateur lié à un élément spécifique par un moteur d'évaluation de risque, dans laquelle le moteur d'évaluation de risque, qui réside aussi sur le serveur de modèles 20 d'utilisateur, est adapté aux modèles d'activité d'utilisateur, liés à un élément spécifique et le moteur d'évaluation de risque adapté est copié sur le réseau à partir du serveur de modèles d'utilisateur sur le serveur d'application, - la détermination d'une valeur totale d'évaluation de risque indicative de l'authenticité de l'utilisateur, où la détermination d'une valeur totale d'évaluation de risque comprend 25 a) la pondération et la combinaison de la pluralité de valeurs d'évaluation de risque lié à un élément spécifique, ou b) la pondération et la combinaison de valeurs précombinées d'évaluation de risque, les valeurs précombinées étant déterminées par la combinaison d'une portion de la pluralité des valeurs d'évaluation de risque lié à un élément spécifique en utilisant 30 l'analyse de décision à critères multiples, dans laquelle la valeur totale de risque est déterminée sur le serveur d'application en utilisant le modèle d'utilisateur répliqué et le moteur d'évaluation de risque copié, - lorsque la valeur totale d'évaluation de risque dépasse un seuil donné, la mise en oeuvre d'une action corrective, comprenant au moins l'une des actions suivantes : (i) la fermeture 35 de session de l'utilisateur (ii) une demande d'authentification basée sur deux critères (iii) le verrouillage de l'utilisateur, et (iv) le déclenchement d'une fonction d'alerte. 3047594 43\n<CLM>\1\tUn programme d'ordinateur comprenant des instructions de code de programme pour l'exécution des étapes du procédé selon un des revendications 1 à 13, lorsque ledit programme est exécuté sur le système serveur selon la revendication 14.