wykrywanie logowania z nietypowego miejsca

Wykrywanie logowania z nietypowego miejsca sygnalizuje możliwe przejęcie konta.

Skąd usługa wie, gdzie jesteś

Podstawą jest adres IP, z którego przyszło żądanie, zestawiony z bazą przypisującą zakresy adresów do krajów, miast i operatorów. Dokładność takiej lokalizacji jest umiarkowana: kraj zwykle zgadza się z rzeczywistością, miasto już nie zawsze, bo operator komórkowy potrafi wypuszczać ruch przez węzeł oddalony o kilkaset kilometrów. Do adresu dochodzą inne sygnały: odcisk przeglądarki, wersja systemu, identyfikator urządzenia zapamiętany po poprzednim logowaniu oraz pora, o której użytkownik zwykle pracuje.

Dopiero zestawienie tych elementów daje ocenę ryzyka. Logowanie z nowego miasta na znanym urządzeniu i z tej samej sieci firmowej traktowane jest zupełnie inaczej niż to samo z nieznanej przeglądarki i z zakresu adresów przypisanego do serwerowni.

Podróż niemożliwa i inne reguły oceny

Najczęściej stosowana reguła nazywa się podróżą niemożliwą: system porównuje dwa kolejne logowania i sprawdza, czy odległość między nimi da się pokonać w czasie, jaki upłynął. Zalogowanie w Warszawie i pół godziny później w innej części świata jest fizycznie wykluczone, więc druga sesja zostaje oznaczona. Inne reguły wychwytują logowanie z sieci anonimizujących, z adresów kojarzonych wcześniej z atakami, wiele nieudanych prób z różnych krajów pod jedno konto oraz udane wejście tuż po serii nieudanych.

W systemach opartych o katalog domenowy odpowiednikiem są zapisy w dzienniku Zabezpieczenia, gdzie numer 4624 oznacza udane logowanie, a 4625 nieudane, wraz z typem logowania i nazwą stacji, z której przyszło żądanie.

Fałszywe alarmy i powiadomienia, których nikt nie czyta

Największym wrogiem tego mechanizmu jest jego własna czułość. Włączony VPN, praca przez sieć hotelową, telefon przełączony w roaming albo nowa przeglądarka po reinstalacji generują alerty, które z zagrożeniem nie mają nic wspólnego. Po kilkunastu takich wiadomościach użytkownik przestaje je otwierać i przeoczy tę jedną prawdziwą. Dlatego progi trzeba dostroić do sposobu pracy firmy, a nie zostawiać na ustawieniach domyślnych, i rozdzielić powiadomienia informacyjne od tych wymagających reakcji.

Osobną pułapką jest fałszywe poczucie bezpieczeństwa: samo wykrycie niczego nie blokuje. Bez wymuszonego drugiego składnika uwierzytelnienia alert przychodzi wtedy, gdy ktoś już jest w środku.

Konto przejęte — kolejność działań

Przy podejrzeniu przejęcia liczy się kolejność. Najpierw unieważniamy aktywne sesje i zmieniamy hasło, potem sprawdzamy skrzynkę pod kątem reguł przekazujących pocztę na zewnątrz i ukrytych folderów, następnie przeglądamy hasła aplikacji oraz powiązane urządzenia, bo samo hasło nie odetnie dostępu przyznanego wcześniej innym kanałem. Na koniec zostaje przegląd stacji roboczej, z której doszło do wycieku danych logowania. Takie zgłoszenia przyjmujemy o każdej porze, również nocą i w weekendy, u klientów indywidualnych i w firmach.