Configurer un cas d'utilisation d'activité personnalisée dans Oracle Adaptive Risk Management

Introduction

Ce tutoriel vous explique comment configurer un cas d'utilisation d'activité personnalisé dans Oracle Adaptive Risk Management (OARM).

En plus de l'activité d'authentification utilisateur prête à l'emploi, un client peut créer ses propres activités personnalisées et créer des règles à l'aide des informations collectées à partir de cette activité. Les règles sont personnalisées en fonction des besoins de l'entreprise. Ces règles peuvent être de nature transactionnelle, en surveillant divers aspects de l'activité utilisateur qui intéresse l'entreprise. Des exemples d'activités personnalisées sont la banque sur Internet ou le paiement de factures dans une application bancaire. Vous pouvez ajouter des règles qui utilisent les informations, telles que le montant impliqué dans le paiement, les informations utilisateur, etc. pour identifier un transfert d'argent frauduleux.

Ce tutoriel prend en compte un scénario dans lequel l'administrateur surveille une activité personnalisée impliquant un utilisateur effectuant des achats en ligne. Si la première transaction d'achat vaut plus de 500 $, l'utilisateur est autorisé à poursuivre la transaction. Cependant, si l'utilisateur effectue une deuxième transaction en ligne dans les 5 minutes suivant le premier achat et qu'elle dépasse 500 $, alors l'utilisateur est bloqué. L'administrateur peut surveiller les alertes, les actions, les règles et d'autres informations relatives aux utilisateurs via le tableau de bord Session utilisateur.

Objectifs

Dans ce tutoriel, vous allez effectuer les tâches suivantes :

  1. Configurez une activité personnalisée dans OARM.
  2. Testez la règle à l'aide de l'API REST de risque OAA.
  3. Testez le comportement de la règle en mettant à jour la condition.
  4. Surveillez la session utilisateur.

Prérequis

Avant de commencer ce tutoriel, vous devez suivre :

Configuration d'une activité personnalisée dans OARM

Pour configurer une activité personnalisée pour l'activité de carte de crédit, procédez comme suit :

Créer une activité personnalisée pour l'activité de carte de crédit

  1. Connectez-vous à la console d'administration OARM. Vous êtes redirigé vers la page de connexion OAM car la console est protégée par OAM OAuth. Indiquez vos informations d'identification et de connexion.

  2. Cliquez sur le menu latéral de la navigation dans l'application en haut à gauche.

  3. Sous Adaptive Risk Management, cliquez sur Activités personnalisées. La page Activités personnalisées s'affiche.

  4. Cliquez sur Créer une activité.

  5. Dans la page Nouvelle activité personnalisée, dans la 1. Dans le volet Describe Activity, entrez les informations suivantes :

    • Entrez le nom de cette activité : indiquez le nom de l'activité personnalisée. Par exemple, Activité de carte de crédit.
    • Description : indiquez la description de l'activité personnalisée. Par exemple, Activité de carte de crédit.
    • Fournissez les informations relatives au jeu de transport, puis cliquez sur Suivant.

  6. Dans le champ 2. Spécifiez les acteurs à surveiller, cliquez sur Suivant.

    Remarque : pour ce cas d'utilisation, aucun acteur n'est sélectionné. Pour plus d'informations sur la spécification des acteurs à surveiller, reportez-vous à Référence d'aide pour la console d'administration Oracle Advanced Authentication.

  7. Dans le champ 3. Fournissez la section Détails d'activité à surveiller, cliquez sur Ajouter des détails et entrez les informations suivantes :

    • Nom : indiquez le nom du détail de l'activité. Dans cet exemple, le prix de l'article est utilisé car ce cas d'utilisation d'activité personnalisée est associé au prix de l'article acheté par un client.
    • Description : Indiquez la description du détail de l'activité, par exemple prix de l'article acheté.
    • Obligatoire : utilisez le bouton à bascule pour indiquer que l'élément est obligatoire. Cela garantit que pour chaque transaction entrant dans OARM, les informations sur les prix sont fournies.
    • Type de données : indiquez le type Numérique de l'attribut.
    • Chiffré : utilisez le bouton à bascule pour indiquer si l'élément doit être chiffré. Le cryptage est utilisé uniquement pour les champs de données string ; il n'est pas nécessaire de crypter les autres champs de données. Dans cet exemple, nous allons le laisser non chiffré.
    • Cliquez sur OK.

    A droite du prix de l'article, cliquez sur l'icône Mettre en correspondance pour fournir les données source comme suit :

    • Données source : les données source font référence aux données client provenant d'une application protégée dans le cadre d'une transaction. transaction.price, par exemple.
    • Type de mise en correspondance : indique un moyen de connecter les données source aux données de destination et à l'acteur. Comme nous avons besoin d'un mapping un à un entre l'élément de données source et l'élément de données de destination, sélectionnez Direct.

    • Cliquez sur OK.
    • Cliquez ensuite sur Terminé.

  8. Cliquez sur Enregistrer et continuer pour confirmer la création de l'activité personnalisée.

Créer un groupe d'alertes

  1. Cliquez sur le menu latéral de navigation dans l'application en haut à gauche, puis sous Adaptive Risk Management, cliquez sur Gérer les groupes. Cliquez sur Créer un nouveau groupe.

  2. Dans la page New Group, créez un groupe d'alertes comme suit :

    • Nom du groupe : indiquez le nom du groupe, par exemple L'article acheté dépasse la limite.
    • Type de groupe : indiquez le type de groupe Alertes.
    • Description du groupe : indiquez une description pour le groupe, par exemple Alerte si le prix d'achat est supérieur à 500 $.
    • Cliquez sur Créer.

  3. Dans le panneau L'article acheté dépasse la limite, sélectionnez Ajouter des alertes :

  4. Dans le panneau Ajouter une valeur, entrez les valeurs suivantes et cliquez sur Ajouter :

    • Type d'alerte : indiquez le type d'alerte Fraude.
    • Niveau d'alerte : indiquez le niveau d'alerte Elevé.
    • Message d'alerte : indiquez le message d'alerte car le prix d'achat dépasse la limite.

  5. L'alerte est maintenant ajoutée au groupe d'alertes :

  6. Cliquez sur Enregistrer.

Configurer une règle d'activité de carte de crédit

  1. Cliquez sur le menu latéral de navigation dans l'application en haut à gauche, puis sur Adaptive Risk Management pour afficher la liste des activités du tableau de bord.

  2. Dans la mosaïque Activité de carte de crédit, cliquez sur le lien 0 règle. La page Activité utilisateur apparaît.

  3. Sur la page Activité utilisateur, cliquez sur Ajouter une nouvelle règle.

  4. Sur la page Ajouter une nouvelle règle, entrez les informations suivantes :

    • Nom : indiquez le nom de la règle, par exemple Activité de carte de crédit.
    • Description : Indiquez la description de la règle, par exemple Vérifier si le prix d'achat est supérieur à 500 $.
    • Statut : utilisez le bouton à bascule pour activer la règle.
    • Sélectionner une action : sélectionnez l'action à associer à la règle. Par exemple, Bloquer dans ce cas d'utilisation.
    • Sélectionner une alerte : sélectionnez l'alerte à déclencher lorsque la règle est évaluée. Par exemple, L'article acheté dépasse la limite.

  5. Dans la même fenêtre, cliquez sur le bouton à bascule pour Afficher les conditions avancées.

  6. Dans la liste Condition de recherche, sélectionnez Vérifier le nombre de transactions à l'aide de conditions de filtre, puis cliquez sur Ajouter une condition. La condition apparaît ci-dessous. Entrez les informations suivantes :

    • Sélectionner la transaction à compter : Activité de carte de crédit
    • Condition spécifiée pour le nombre : Supérieur ou égal à
    • Valeur de vérification spécifiée pour le nombre : 1
    • Statut de la transaction : laissez ce champ vide.
    • Ignorer la transaction en cours dans le décompte : Vrai
    • pour le même utilisateur : True
    • Appliquer les vérifications de filtre sur la transaction en cours : True
    • Durée: 5
    • Type de durée : non simultané
    • Unité de durée : minutes

  7. Cliquez sur Enregistrer. La règle va s'afficher :

  1. Dans l'écran Activité utilisateur, cliquez sur le bouton Modifier pour le bloc basé sur la règle d'activité de carte de crédit.

  2. En bas de l'écran, cliquez sur Ajouter un filtre et entrez les informations suivantes :

    • Attribut : Prix de l'article
    • Comparateur : supérieur à
    • Valeur: 500

    • Cliquez sur Enregistrer.

  3. Cliquez sur le menu latéral de navigation de l'application en haut à gauche, puis sous Adaptive Risk Management, cliquez sur Activités personnalisées.

  4. Cliquez sur le bouton à bascule pour activer Vérifier la règle d'activité de carte de crédit.

  5. Cliquez sur le menu latéral de navigation de l'application en haut à gauche, puis sur Adaptive Risk Management pour afficher la liste des activités utilisateur dans le tableau de bord. Une règle associée à l'activité personnalisée apparaît :

    Lors du flux d'authentification, lorsque cette règle est exécutée, la condition Vérifier le nombre de transactions à l'aide de conditions de filtre associée à la règle est évaluée. Si cette condition est évaluée comme Vrai, alors la règle est déclenchée Par conséquent, l'utilisateur est bloqué.

Tester la règle d'activité de carte de crédit à l'aide de l'API REST Risque OAA

Dans cette section, vous allez tester la règle d'activité Vérifier la carte de crédit à l'aide de l'API OAA Risk Rest.

Installation de la collection Postman OARM

Définition des paramètres d'environnement dans Postman

  1. Ouvrez Postman, puis sélectionnez Fichier > Importer.

  2. Dans la boîte de dialogue Importer, dans l'onglet Fichier, sélectionnez Télécharger des fichiers. Choisissez Oracle_Advanced_Authentication_Example_Environment.postman_environment.json, puis cliquez sur Ouvrir.

  3. Dans le menu de gauche, cliquez sur Environnements.

  4. Dans la liste des environnements affichée, à droite de l'environnement d'exemple Oracle Advanced Authentication, cliquez sur les points de suspension, puis sur Dupliquer.

  5. Dans Oracle Advanced Authentication Example Environment Copy, qui apparaît au-dessus de l'environnement d'origine, cliquez sur les points de suspension et renommez-le en Oracle Advanced Authentication Environment for REST APIs.

  6. Mettez à jour les variables d'environnement pour le nouvel environnement en saisissant les valeurs suivantes pour Valeur initiale et Valeur actuelle. Une fois que vous avez terminé, cliquez sur Enregistrer, puis sur X dans l'onglet pour le fermer :

    • oaa-admin : nom d'hôte et port d'administration Oracle Advanced Authentication, par exemple https://oaa.example.com.
    • oaa-policy : nom d'hôte et port de stratégie Oracle Advanced Authentication, par exemple https://oaa.example.com.
    • oaa-runtime : nom d'hôte et port d'exécution Oracle Advanced Authentication, par exemple https://oaa.example.com.
    • RELEASENAME : RELEASENAME affecté à la configuration Oracle Advanced Authentication, par exemple oaainstall. Valeur transmise pour common.deployment.name lors de l'installation d'OAA.
    • oaapolicyapikey : oaapolicyapikey pour la configuration d'Oracle Advanced Authentication, par exemple a5764d4ef6b71129f38a2d8ddc88b6060653d3c8. Valeur transmise pour install.global.policyapikey lors de l'installation d'OAA.
    • oaaapikey : oaaapikey pour la configuration d'Oracle Advanced Authentication, par exemple a5764d4ef6b71129f38a2d8ddc88b6060653d3c8. Valeur transmise pour install.global.uasapikey lors de l'installation d'OAA.
    • KBA : nom utilisateur KBA pour la configuration d'Oracle Advanced Authentication, par exemple OAAINSTALL_OAA_KBA. Cette opération prend la valeur <RELEASENAME>_OAA_KBA et distingue les majuscules des minuscules.
    • oaafactorapikey : oaafactorapikey pour la configuration d'Oracle Advanced Authentication, par exemple a5764d4ef6b71129f38a2d8ddc88b6060653d3c8. Valeur transmise pour install.global.factorsapikey lors de l'installation d'OAA.
    • oaa-risk : nom d'hôte et port de risque Oracle Advanced Authentication, par exemple https://oaa.example.com.
    • oaariskapikey : oaaapikey pour la configuration d'Oracle Advanced Authentication, par exemple a5764d4ef6b71129f38a2d8ddc88b6060653d3c8. Valeur transmise pour install.global.riskapikey lors de l'installation d'OAA.

    Remarque : si vous ne connaissez pas les URL pour oaa-admin, oaa-policy, oaa-runtime (spui) et oaa-risk, reportez-vous à Impression des détails de déploiement.

    L'environnement se présente comme suit :

  7. Cliquez sur la liste déroulante Environnement, puis sélectionnez l'environnement mis à jour dans la liste :

Importer la collection Postman

  1. Pour importer la collection Postman de l'API REST Oracle Adaptive Risk Management, sur la page principale Postman, sélectionnez Fichier > Importer.

  2. Dans la boîte de dialogue Importer, dans l'onglet Fichier, sélectionnez Télécharger des fichiers. Choisissez le fichier Oracle_Adaptive_Risk_Management_Rest_API.postman_collection.json, puis cliquez sur Ouvrir et Importer.

    Cliquez sur Collections dans le menu de gauche. La collection doit s'afficher comme suit :

Tester la règle d'activité de carte de crédit

Pour exécuter cette activité personnalisée lors de l'exécution, vous devez exécuter l'API suivante.

Extraire l'ID activité utilisateur

Extraire l'ID activité utilisateur associé à l'activité de carte de crédit :

  1. Dans l'onglet Collections de Postman, accédez à API REST Oracle Adaptive Risk Management > activités utilisateur.

  2. Sélectionnez Obtient les activités utilisateur. Cette demande envoie une demande GET à l'adresse /policy/risk/v1/user-activities et extrait l'ID d'activité utilisateur associé à l'activité de carte de crédit. Cliquez sur Envoyer:

  3. Dans la réponse, vérifiez que l'élément Status: 200 OK apparaît. Dans le corps de la réponse, copiez la valeur de l'activité de carte de crédit dans un fichier texte. Vous en aurez besoin plus tard pendant la transaction.

Créer une session pour l'utilisateur

Créez une session pour l'utilisateur en procédant comme suit :

  1. Dans l'onglet Collections de Postman, accédez à API REST Oracle Adaptive Risk Management > session/v1 > (ID de demande).

  2. Sélectionnez Créer une session pour la demande d'authentification utilisateur. Cette demande envoie une demande POST à l'adresse risk-analyzer/session/v1. Dans le corps, modifiez les informations du corps pour qu'elles correspondent à votre utilisateur et à votre environnement. Dans l'exemple ci-dessous, nous demandons de créer une session pour testuser dans le groupe default. Pour plus d'informations sur la définition des autres paramètres dans le corps, cliquez sur l'icône de documentation mise en évidence en haut à droite de la capture d'écran ci-dessous :

  3. Dans le corps de la réponse, vérifiez que l'élément Status: 200 OK apparaît. Copiez la valeur de requestID dans un fichier texte. Vous aurez besoin de cette valeur ultérieurement pour créer une transaction.

Créer un mouvement pour l'utilisateur

Créez une transaction pour l'utilisateur comme suit :

  1. Dans l'onglet Collections de Postman, accédez à API REST Oracle Adaptive Risk Management > transaction/v1.

  2. Sélectionnez Créer de nouvelles transactions. Cette demande envoie une demande POST à l'adresse /risk-analyzer/transaction/v1. Dans le corps, remplacez la valeur de requestID par la valeur copiée à l'étape précédente, puis cliquez sur Envoyer :

    Remarque : dans le corps de texte précédent, vous observerez la clé : "transaction.price". Ce champ est défini dans le mappage créé à l'étape 7 de la page Créer une activité personnalisée pour l'activité de carte de crédit. Ici, nous définissons une valeur de 700 $ qui est supérieure à la limite de 500 $ définie.

  3. Dans la réponse, vérifiez que l'élément Status: 200 OK apparaît. A partir du corps de la réponse, copiez la valeur de transactionId, qui est 5 dans un fichier texte. Vous aurez besoin de cette valeur à l'étape suivante où vous allez exécuter la règle.

Traitement de la règle

Traitez la règle de la transaction comme suit :

  1. Dans l'onglet Collections de Postman, accédez à API REST Oracle Adaptive Risk Management > transaction/v1.

  2. Sélectionnez Règle de traitement. Cette demande envoie une demande PUT à l'adresse /risk-analyzer/risk/v1.

    Remplacez les valeurs suivantes dans l'appel d'API et cliquez sur Envoyer :

    • CheckpointList : indique la valeur obtenue pour l'activité de carte de crédit dans Extraire l'ID d'activité utilisateur, par exemple : 1600.
    • transactionId : indique la valeur de la transaction créée dans Créer une transaction pour l'utilisateur **, par exemple **5.
    • requestID : indique la valeur obtenue dans Créer une session pour l'utilisateur.

  3. Dans le corps de la réponse, result est vide, ce qui signifie Autoriser et que l'utilisateur est autorisé à poursuivre la transaction lors de la première tentative.

    Remarque : l'utilisateur est autorisé à poursuivre la transaction lors de la première tentative, même si la valeur du prix est de 700 $. En effet, conformément à la condition associée à la règle, Ignorer la transaction en cours dans le nombre est défini sur Vrai. Cela implique que la première fois que l'utilisateur tente une transaction avec un prix supérieur à 500 $, la valeur du prix est ignorée et l'utilisateur est autorisé à poursuivre la transaction.

Mettre à jour la session en tant que succès

Remarque : les étapes de cette section permettent de marquer la session comme Success. Selon les besoins de votre application, vous pouvez mettre à jour la session en conséquence. Pour voir les valeurs possibles, exécutez une commande GET sur /policy/config/property/v1?propertyName=auth.status.enum.* dans la collection Postman.

  1. Mettez à jour la session en tant que Success. Dans l'onglet Collections de Postman, accédez à API REST Oracle Adaptive Risk Management > session/v1 > (ID de demande). Sélectionnez Mettre à jour les détails d'une session existante.

    Remplacez les valeurs suivantes dans le corps de l'appel d'API, puis cliquez sur Envoyer :

    • authenticationStatus : définissez cette valeur sur 0 pour indiquer la réussite d'une session.
    • requestId : indique la valeur obtenue dans Créer une session pour l'utilisateur.

  2. Dans le corps de la réponse, vérifiez que l'élément Status: 200 OK apparaît.

Créer une autre session pour le même utilisateur

  1. Créez une autre session pour que le même utilisateur exécute la deuxième transaction dans les cinq minutes. Renseignez les champs suivants du corps de la réponse au corps de la demande, puis cliquez sur Envoyer :

    • cookieType:4 : à partir du corps de réponse de création de session d'origine, copiez la valeur de digitalCookie et collez-la dans le corps de la demande cookieType:4.
    • cookieType:1 : à partir du corps de réponse de création de session d'origine, copiez la valeur de secureCookie et collez-la dans le corps de la demande cookieType:1.

  2. Dans le corps de la réponse, copiez la valeur de requestID dans un fichier texte. Vous aurez besoin de cette valeur pour créer une transaction.

Créer une autre transaction pour l'utilisateur

  1. Pour créer une deuxième transaction pour l'utilisateur, procédez comme suit :

    • Remplacez requestID par la valeur copiée à l'étape précédente.
    • Cliquez sur Envoyer.

  2. A partir du corps de la réponse, copiez la valeur de transactionId, qui est 6 dans un fichier texte. Vous aurez besoin de cette valeur à l'étape suivante où vous allez exécuter la règle.

Traiter la règle pour la deuxième transaction

  1. Traitez la règle de la deuxième transaction en remplaçant les valeurs suivantes dans le corps de la demande de l'appel d'API, puis cliquez sur Envoyer :

    • transactionId : indique la valeur du deuxième ID de transaction créé à l'étape précédente, par exemple, 6.
    • requestID : indique la valeur obtenue lors de la création de la deuxième session à l'étape 5.

  2. Dans le corps de la réponse, la valeur du résultat est Bloquer. Selon la condition, si la valeur du prix est supérieure à 500 $ et que le nombre de transactions est supérieur à 1, l'utilisateur doit être bloqué. Notez que le message d'alerte est renvoyé par le groupe d'alertes associé :

Tester le fonctionnement de la règle en mettant à jour la condition

Dans cette section, vous allez mettre à jour les critères de condition pour bloquer un utilisateur si celui-ci tente d'effectuer une transaction supérieure à 500 $ pour la première fois. Dans ce scénario, un autre utilisateur, testuser2, effectue la transaction.

  1. Lancez un navigateur et connectez-vous à la console d'administration OARM. Indiquez vos informations d'identification et de connexion.

  2. Cliquez sur le menu latéral de navigation d'application en haut à gauche, puis sur Adaptive Risk Management. La page Activités utilisateur surveillées s'affiche.

  3. Dans la mosaïque Activité de carte de crédit, cliquez sur le lien 1 règle. La page Activité utilisateur apparaît.

  4. Dans la page Activité utilisateur, cliquez sur l'icône Modifier en regard de la règle.

  5. Dans la section Conditions, mettez à jour Ignorer la transaction actuelle dans le nombre sur Faux, puis cliquez sur Enregistrer.

  6. Dans la collection Postman, dans Créer une session, créez une autre session pour un nouvel utilisateur, testuser2. Cliquez sur Envoyer:

  7. Dans le corps de la réponse, copiez la valeur de requestID dans un fichier texte. Vous aurez besoin de cette valeur pour créer une transaction.

  8. Pour créer une transaction pour l'utilisateur, procédez comme suit dans Créer une transaction :

    • Remplacez requestID par la valeur copiée à l'étape précédente.
    • Cliquez sur Envoyer.

  9. Dans le corps de la réponse, copiez la valeur de transactionId, qui est 7, dans un fichier texte. Vous aurez besoin de cette valeur à l'étape suivante où vous allez exécuter la règle.

  10. Traitez la règle pour cette transaction en remplaçant les valeurs suivantes dans le corps de la demande de l'appel d'API Règle de processus. Cliquez sur Envoyer.

    • transactionId : indique la valeur de l'ID de transaction créé à l'étape 9 précédente, par exemple, 7.
    • requestID : indique la valeur obtenue lors de la création de la session à l'étape précédente.

  11. Dans le corps de la réponse, validez la valeur du résultat, qui est Bloquer. L'utilisateur n'est pas autorisé à poursuivre la transaction lors de la première tentative, car selon la condition, si la valeur de prix est supérieure à 500 $ dans le nombre de transactions 1, l'utilisateur doit être bloqué.

Surveiller la session utilisateur

  1. Lancez un nouveau navigateur.

  2. Connectez-vous à la console d'administration OARM. Vous êtes redirigé vers la page de connexion OAM, car la console est protégée par OAM OAuth. Indiquez vos informations d'identification et de connexion.

  3. Cliquez sur le menu latéral de la navigation dans l'application en haut à gauche, puis sur Surveiller les sessions utilisateur. Le tableau de bord Sessions utilisateur s'affiche. Cliquez sur le bouton à bascule Inclure les sessions ayant réussi pour afficher la liste des connexions ayant réussi ou échoué :

    Respectez les règles suivantes :

    • Informations pour testuser : la première transaction de l'utilisateur a réussi. Lorsque l'utilisateur effectue la seconde transaction, il est bloqué. Notez que l'ID d'appareil, qui est 85, est le même dans les deux transactions. En effet, vous avez copié digitalCookie et secureCookie lors de l'exécution de cette transaction. Cela vous permet de surveiller les informations sur le périphérique de l'utilisateur.
    • Informations pour testuser2 : la première transaction de l'utilisateur a été bloquée.

  4. Cliquez sur le lien sous ID de session pour testuser2 créé dans la tâche 2, par exemple 90. La page Sessions utilisateur - 90 s'affiche. L'action est Bloquer :

En savoir plus

Informations en retour

Pour donner votre avis sur ce tutoriel, veuillez contacter idm_user_assistance_ww_grp@oracle.com

Remerciements

Ressources de formation supplémentaires

Explorez d'autres ateliers sur le site docs.oracle.com/learn ou accédez à d'autres contenus d'apprentissage gratuits sur le canal Oracle Learning YouTube. En outre, visitez le site education.oracle.com/learning-explorer pour devenir un explorateur Oracle Learning.

Pour obtenir de la documentation sur le produit, consultez Oracle Help Center.