Impossible Travel 101 : ce que vous devez savoir

« Impossible travel » est une technique de détection des menaces ou un algorithme de prévision des risques qui calcule si des tentatives de connexion séquentielles depuis différents endroits sont, de manière réaliste, trop éloignées les unes des autres pour se déplacer dans le délai défini. Elle évalue si la durée entre la tentative actuelle et une tentative antérieure réussie est logiquement possible.

Par exemple, si vous disposez d'une solution de détection qui inclut les « impossible travel » et que l'un de vos employés se connecte à son compte depuis New York, puis accède au même compte depuis San Francisco 15 minutes plus tard, la session est considérée comme présentant un risque élevé et des mesures d'atténuation sont mises en place.

Dans ce blog, nous explorerons les mécanismes des impossible travel, également appelés anomalies de géo-vélocité, et discuterons de la manière dont les outils de protection contre les menaces de Ping peuvent aider les entreprises à sécuriser leurs identités.

Une note sur les faux positifs

Avant d'entrer dans le vif du sujet des impossible travel, il est important de discuter d'un concept fondamental de l'évaluation des risques : les faux positifs. Par nature, aucune technique de détection des risques n'est exempte de faux positifs. En d'autres termes, il existe toujours une marge d'erreur, et un seul prédicteur de risque ne suffit pas à classer une session à haut risque avec une certitude absolue. Vous avez besoin de plus de preuves, de données et d'anomalies de risque pour détecter les menaces avec précision. 

Considérez l'évaluation des risques comme vos sens : le toucher, l'odorat, le goût, la vue et l'ouïe. Grâce à l'expérience combinée de tous ces sens, vous savez avec une grande certitude où vous êtes et ce qui se passe autour de vous. Si vous ne vous fiez qu'à un seul sens, vous pourriez facilement être induit en erreur. L’évaluation des risques et les prédicteurs de risques associés sont comme chacun de vos sens. Chacun évalue des ensembles de données spécifiques. Seuls, ils ne vous apportent pas beaucoup de certitude, mais lorsqu'ils sont combinés, ils donnent une image de toute l'histoire. Chaque prédicteur rassemble des preuves, et vous avez besoin de beaucoup de preuves pour minimiser les doutes et les faux positifs et pour rendre le dossier suffisamment solide pour mener à une condamnation.

Comment fonctionne la détection des impossible travel ?

Il est facile d’expliquer le concept d'impossible travel : vous ne pouvez pas être à deux endroits différents en même temps. Cependant, le travail que les algorithmes de risque effectuent en arrière-plan pour identifier cette anomalie est plus complexe. La détection et la protection des impossible travel ne se limitent pas simplement à l'évaluation de l'activité de connexion. Elle inclut également :

L'agrégation et le calcul des données : différents signaux de risque, tels que l'adresse IP, la géolocalisation, les jetons de session, les identifiants des appareils et la biométrie comportementale, sont combinés pour établir une activité de référence « normale ». Les données de vitesse de déplacement sont également utilisées pour calculer des distances de déplacement réalistes en fonction de différentes périodes.

Évaluation de l'historique des connexions : les algorithmes d'apprentissage automatique prennent des données agrégées en temps réel dès leur réception et comparent l'activité récente aux horodatages des connexions et au comportement historique pour identifier les anomalies et les aberrations.

Notation pour l'atténuation : tous les signaux de risque, y compris le prédicteur d'impossible travel, sont combinés pour produire un score de risque agrégé. Ce score de risque est utilisé pour automatiser l'atténuation, y compris :

• Déclencher une authentification multifacteur ou une vérification d'identité
• Signaler une tentative de connexion et alerter le propriétaire du compte
• Alerter l'administration

Les risques d'ignorer la détection des menaces

Ne pas tirer parti d'une solution de détection de menaces avec détection d'impossible travel revient à ne pas acheter de détecteur de fumée : les conséquences pourraient être graves. Voici ce qui pourrait se produire si vos systèmes d'identité sont compromis :

Données personnelles et vol d'identité

Si une partie non autorisée accède au compte d'un utilisateur, elle obtient toutes les informations personnelles qui y sont stockées, y compris les listes de contacts et les messages. Si le compte compromis contient des informations pouvant être utilisées pour une usurpation d'identité, le risque de préjudice est plus important. Avec suffisamment de données, les cybercriminels peuvent se faire passer pour des utilisateurs afin d'ouvrir de nouveaux comptes, d'obtenir des prêts ou de mener des activités illégales.

Perte financière

Les utilisateurs non autorisés peuvent effectuer des transactions, réaliser des achats en ligne et même dérober des informations de carte de crédit ou bancaires. Des cybercriminels qui passent inaperçus peuvent obtenir un accès complet aux informations financières de votre entreprise en piratant les données de votre département comptable, par exemple.

Perte de réputation commerciale et conséquences juridiques

Si une fraude est rendue public, vous perdez la confiance de vos clients, portez atteinte à votre réputation et vous vous exposez à d'importantes répercussions financières et juridiques. En prenant au sérieux la détection des menaces en temps réel et en automatisant les mesures d'atténuation, vous ne vous protégez pas seulement vous, mais vous contribuez également à des efforts plus larges en matière de cybersécurité. Dans le monde numérique, votre première ligne de défense est d'être proactif en matière de détection des menaces.