logowanie z nietypowej lokalizacji

Logowanie z nietypowej lokalizacji to zdarzenie sygnalizujące możliwe przejęcie konta przez osobę nieuprawnioną.

Jak system rozpoznaje logowanie z nietypowej lokalizacji

Logowanie z nietypowej lokalizacji jest wynikiem porównania bieżącej próby dostępu z wcześniejszym wzorcem korzystania z konta. System może analizować publiczny adres IP, przybliżone położenie geograficzne, porę logowania, używaną przeglądarkę, system operacyjny, identyfikator urządzenia oraz inne cechy sesji. Sama lokalizacja nie jest ustalana na podstawie adresu domowego zapisanego w koncie. Najczęściej wykorzystywana jest geolokalizacja adresu IP, czyli przypisanie adresu do kraju, regionu albo miasta przez zewnętrzną bazę danych.

Adres IP nie wskazuje jednak dokładnego miejsca, w którym znajduje się osoba korzystająca z urządzenia. Dostawca internetu może dynamicznie przydzielać adresy, a ruch może przechodzić przez sieć komórkową, firmową, uczelnianą albo publiczny punkt dostępu. Inny wynik może pojawić się także po użyciu tunelu VPN, serwera proxy lub usługi pośredniczącej. Z tego powodu komunikat o nietypowej lokalizacji jest sygnałem ryzyka, a nie samodzielnym dowodem przejęcia konta. Prawidłowa ocena wymaga sprawdzenia kilku cech zdarzenia jednocześnie.

Dlaczego ostrzeżenie nie zawsze oznacza włamanie

Nietypowy adres może pojawić się podczas zwykłej zmiany sieci. Przykładem jest przełączenie laptopa z domowego Wi-Fi na połączenie LTE, korzystanie z hotelowego internetu albo zalogowanie po podłączeniu do firmowej sieci z centralnym wyjściem do internetu. W każdym z tych przypadków serwis może zobaczyć inny publiczny adres IP niż podczas wcześniejszych sesji. Różnica może wystąpić również wtedy, gdy dostawca zmieni trasowanie ruchu lub zaktualizuje bazę geolokalizacyjną.

Systemy bezpieczeństwa mogą też stosować regułę określaną jako impossible travel, czyli „niemożliwa podróż”. Polega ona na wykryciu dwóch logowań z lokalizacji, między którymi upłynęło zbyt mało czasu, aby fizyczne przemieszczenie użytkownika było prawdopodobne. Reguła może wskazać ryzyko, gdy jedno logowanie pochodzi z Warszawy, a następne z odległego kraju w odstępie kilku minut. Nie uwzględnia jednak wszystkich szczegółów infrastruktury sieciowej. Ten sam użytkownik może zostać rozpoznany w dwóch miejscach, jeśli korzysta z usługi VPN, zdalnego pulpitu albo firmowego koncentratora ruchu.

Wiarygodność ostrzeżenia rośnie, gdy nietypowej lokalizacji towarzyszą inne anomalie: nieznane urządzenie, zmiana przeglądarki, wiele nieudanych prób hasła, logowanie o nietypowej porze, utworzenie nowej reguły przekierowania poczty albo zmiana ustawień uwierzytelniania. Znaczenie ma także informacja o aktywnych sesjach. Jedno nowe logowanie z innego adresu może być pomyłką geolokalizacji, natomiast równoczesna sesja z nieznanego urządzenia wymaga szybszego sprawdzenia.

Sprawdzenie zdarzenia bez pochopnego kasowania danych

Najpierw należy ustalić, czy logowanie rzeczywiście mogło zostać wykonane przez uprawnionego użytkownika. Warto porównać czas zdarzenia z własną aktywnością, sprawdzić nazwę urządzenia, przeglądarkę, system operacyjny, przybliżony region oraz operatora sieci. Jeżeli komunikat pochodzi z poczty elektronicznej lub aplikacji, bezpieczniej jest otworzyć usługę przez ręcznie wpisany adres albo oficjalną aplikację, a nie przez przypadkowy odnośnik z wiadomości. Fałszywe alerty mogą prowadzić do strony wyłudzającej hasło.

Jeżeli zdarzenie nie jest znane, należy zakończyć obce sesje w ustawieniach konta, zmienić hasło i sprawdzić, czy nie zmieniono pomocniczego adresu e-mail, numeru telefonu lub metod uwierzytelniania wieloskładnikowego. Nowe hasło nie powinno być używane w innych usługach. Gdy to samo hasło było stosowane w kilku miejscach, trzeba zmienić je również tam, ponieważ przejęcie jednego konta może ułatwić dostęp do kolejnych. Uwierzytelnianie wieloskładnikowe ogranicza skutki wycieku samego hasła, ale nie zastępuje kontroli aktywnych sesji i urządzeń.

Nie należy usuwać całej historii logowań przed jej zapisaniem. Czas zdarzenia, adres IP, typ urządzenia, komunikat systemowy i identyfikator sesji mogą pomóc odtworzyć kolejność wydarzeń. W przypadku konta systemowego lub firmowego potrzebne mogą być również logi uwierzytelniania, dzienniki przeglądarki i informacje o zmianach konfiguracji. Trzeba zachować ostrożność przy interpretacji adresów prywatnych, takich jak 192.168.x.x lub 10.x.x.x, ponieważ nie są one publiczną lokalizacją użytkownika, lecz adresami używanymi wewnątrz sieci lokalnej.

Rola sprawnego laptopa i komputera przy analizie logowania

Analiza alertu jest bardziej wiarygodna, gdy laptop lub komputer działa w przewidywalny sposób. Nieprawidłowy zegar systemowy może utrudnić porównanie czasu zdarzeń, a nieaktualna przeglądarka, uszkodzony profil użytkownika albo dodatek zmieniający ruch sieciowy mogą wpływać na sposób otwierania stron logowania. Warto sprawdzić datę i godzinę, listę rozszerzeń przeglądarki, zapisane profile, aktywne połączenie sieciowe oraz aktualność systemu. Przy podejrzeniu złośliwego oprogramowania nie należy wpisywać kolejnych haseł na urządzeniu do czasu wykonania diagnostyki.

Warszawskie Pogotowie Komputerowe wykonuje profesjonalną naprawę laptopów, komputerów PC i podzespołów, gdy problem z urządzeniem utrudnia bezpieczne sprawdzenie konta, przeglądarki lub połączenia sieciowego. Diagnostyka może obejmować stan systemu, konfigurację sieci, działanie przeglądarki i objawy wskazujące na nieprawidłową pracę komputera. Sam komunikat o logowaniu z nietypowej lokalizacji powinien być jednak interpretowany razem z historią konta i informacjami udostępnianymi przez konkretną usługę, ponieważ naprawa sprzętu nie potwierdza automatycznie źródła wcześniejszego logowania.