В результате внедрения в 5 раз сокращены операционные расходы бизнес-подразделений банка на выявление и противодействие мошенническим операциям. Самообучаемая система адаптируется к новым и изменяющимся схемам мошенничества и в автоматическом режиме выявляет и блокирует не менее 99,79% высокорисковых транзакций. Число транзакций, требующих анализа в ручном режиме, снижено в 5 раз.
«Объем финансовых потоков со стороны юридических лиц, проходящих через систему ДБО банка, в 2014 г. превысил 30 тыс. платежей в сутки. При этом в пиковые часы она обрабатывает более 100 транзакций в секунду, — рассказывает о предпосылках проекта Василий Окулесский, начальник управления информационной безопасности Департамента по обеспечению безопасности Банка Москвы. — Общее число операций, требующих контроля, чрезвычайно сжатые сроки их анализа, необходимость свести к минимуму влияние человеческого фактора на его результат, а также скорость, с которой мошенники изменяют способы своей деятельности, поставили для нас внедрение системы управления рисками, обладающей возможностями самообучения в реальном времени, в ряд задач, критически важных для бизнеса».
Эксперты компании «Инфосистемы Джет» провели аудит ИТ-инфраструктуры банка, задействованной в эксплуатации и контроле системы ДБО, проанализировали существующие процессы борьбы с мошенничеством, данные финансовых операций и статистику по выявленным фактам мошеннических действий. На основе полученной информации были сформированы функциональные и архитектурные требования к системе по борьбе с мошенничеством. Далее она была интегрирована в инфраструктуру банка и подключена к ключевым системам (ДБО и АБС) с полным сохранением показателей их надежности и производительности. Для системы ДБО были настроены правила сбора данных о пользовательской среде и операциях пользователей, получения результатов фрод-анализа и сценарии реагирования на них.
За счет технологических возможностей RSA локальная система защиты банка подключена к глобальной базе данных о мошеннических операциях, накапливаемой десятками международных организаций в режиме real-time. Анализу подвергаются все типы переводов, а также основные операции, совершаемые в рамках сервисов ДБО юридических лиц.
«Ключевой этап внедрения — опытная эксплуатация. На данном этапе проектная команда обеспечивала „обучение“ математической модели выявления мошенничества, профилирование и накопление исторических данных. Реализованная математическая модель позволяет выявлять высокорисковые операции исходя из общих критериев действий злоумышленника и на основании всей зафиксированной ранее активности при попытке реализации хищений», — поясняет Алексей Сизов, руководитель направления по борьбе с мошенничеством Центра информационной безопасности компании «Инфосистемы Джет».
Ядро системы — RSA Risk Engine — в режиме реального времени оценивает активность внешних пользователей, отслеживая свыше 100 индикаторов факта мошенничества. Механизм оценки состоит в присвоении уникального балла риска каждому действию пользователя, основанного на комбинации оценки его недавнего поведения, накопленных за длительный промежуток времени данных и степени риска операции, назначаемой аналитиком вручную. За счет этого обеспечивается эффективность борьбы с MITM-атаками и троянами, реализующими атаки «Man-in-the-Browser». При расчете балла риска используется принцип байесовской сети: новые схемы атак выявляются на основании небольшого числа мошеннических операций. Параметры байесовской сети ежедневно пересчитываются. Это позволяет поддерживать модель риска в актуальном состоянии.
Выявленные операции с высоким баллом риска регистрируются и анализируются в подсистеме Case Management, работающей в режиме реального времени. Полученные результаты возвращаются в Risk Engine, которая автоматически ставит на учет подтвержденную мошенническую схему или, получив доказательства законности операции, выполняет самонастройку для работы с такими операциями в будущем.
Еще одним элементом системы является база данных RSA eFraudNetwork, предназначенная для распространения и совместного использования информации о деятельности мошенников всеми ее пользователями. Сведения о мошенничествах поступают в базу данных в режиме реального времени. Если атаке подвергся один из пользователей, все локальные копии баз данных, к которым обращаются системы Case Management отдельных пользователей, получают об этом уведомления. Локальная копия баз данных eFraudNetworkБанка Москвы обновляется каждые несколько минут.
