Ficha Técnica. effidetect

Transcripción

1 Ficha Técnica effidetect

2 Página 1 de 9 Introducción El Sistema Pointer es un producto de Predisoft ( cuyo propósito es la detección (en línea) del fraude que sufren las instituciones financieras en tarjetas de crédito y de débito. En términos generales, el sistema se implementa de forma sencilla, creando una interfaz entre el sistema autorizador de las transacciones y la base de datos del sistema Pointer. En seguida deben construirse otras interfaces para implementar los temas de acceso a información de clientes y en algunos casos (si así lo amerita la institución) a la seguridad centralizada (single signon). Por último, a través de un ambiente cliente/servidor se le permite a los usuarios en sus estaciones de trabajo realizar las tareas de administración, seguimiento de alertas, definición de reglas de experto, impresión de reportes, etc. Cabe destacar que Predisoft utiliza tecnología matemática para llevar a cabo la detección del fraude. Esta tecnología se denomina Vector Simbólico, misma que mereció la medalla de oro como el premio a la innovación tecnológica por parte de la Organización Mundial de Propiedad Intelectual, en Suiza. Utilizando la tecnología del Vector Simbólico, el Sistema Pointer es capaz de condensar la historia transaccional de cada tarjeta-habiente en una estructura de datos muy pequeña. Esto permite verificar cada nueva transacción contra la historia transaccional de cada persona. El concepto fundamental es la búsqueda de la atipicidad en el comportamiento. Cuando dicha atipicidad se detecta, el Sistema genera una alerta que es enviada al personal idóneo para su respectiva investigación. Si bien el Sistema se basa fundamentalmente en la tecnología del Vector Simbólico, hace uso además de otras técnicas que tradicionalmente se han utilizado para otros fines. Por tanto, las técnicas que incorpora el Sistema Pointer son las siguientes: a) Vectores simbólicos, como tecnología matemática patentada por Predisoft. b) Reglas de experto, lo cual permite la incorporación del conocimiento experto en el sistema, a través de reglas que pueden crearse fácilmente por el mismo usuario. c) Análisis del fraude histórico registrado. A continuación se realiza una explicación gráfica de la arquitectura del sistema, desde la perspectiva técnica. Se inicia con un diagrama general del mismo.

3 Página 2 de 9 Diagrama general En seguida se presenta el diagrama general del Sistema, el cual se explica a de inmediato. 1. Las transacciones se producen en la nube denominada Transactions Source, en la parte superior izquierda del diagrama. Se refiere a la totalidad de las transacciones que ocurren, sin importar su origen o bien el canal de atención al cliente por el cual se producen. 2. Las transacciones son procesadas por el Sistema Autorizador de la institución, el cual reside en uno o varios computadores denominados Main Server. Este proceso incluye: a) tomar la transacción, b) autorizarla o negarla, según corresponde. 3. Una vez suceda lo dicho en 2. las transacciones deben ser extraídas a través de un mecanismo (la recomendación de Predisoft es utilizar un software probado y estable que garantice que no ocurrirá contención de transacciones). Este mecanismo debe asegurar que toda transacción procesada por el sistema autorizador llegue a la base de datos del Sistema (al servidor denominado Pointer Data Base Server ). Se

4 Página 3 de 9 recomienda que esta base de datos resida en un servidor exclusivo para tal fin. 4. Una vez las transacciones residan en la Base de Datos, inicia todo el proceso a cargo de componentes del Sistema (que se ubican en el computador denominado Pointer Application Server ). Un proveedor de transacciones se encarga de hacer llegar las nuevas transacciones a una pieza del Sistema denominado Generador de Alertas, para que haga varias verificaciones: a) análisis simbólico (vector simbólico), b) análisis del fraude, c) análisis de cumplimiento de reglas de experto. Cualquiera de estos motores detectores puede determinar que una transacción dada sea sujeta de generar una alerta (es decir, sea sospechosa). 5. Una vez que el Generador de Alertas ha marcado una transacción como Alerta, esta se hace pública para el Visor de Alertas. Un servidor (que podría residir en la misma máquina donde residen el Generador de Alertas y el Generador de Vectores) se encarga de hacer llegar las Alertas a los usuarios investigadores a través de la red de la institución. Los Visores Clientes son el software que permite a cada investigador dar seguimiento a cada una de las alertas y registrar su actividad. El gráfico que se muestra en seguida, presenta los mecanismos que podrían utilizarse para obtener las nuevas transacciones, conforme ocurren.

5 Página 4 de 9 Desde el servidor principal debe habilitarse el envío de transacciones hacia el servidor de la base de datos de Pointer. Lo ideal es realizar esta tarea en línea, o muy cercano al momento de su ocurrencia. Existen varias opciones para hacer este traslado, incluyendo MQSeries, DTS, Extractor Replicator, o construyendo una interfaz específica. Por su parte, el esquema de hardware que utiliza el sistema es el que se presenta en seguida: Básicamente se requiere de un servidor especializado en bases de datos y otro como servidor de aplicaciones. Podría optarse por utilizar un solo servidor donde se instalen todos los componentes, sin embargo, las mejores prácticas apuntan por separar ambos componentes en dos capas de hardware. Por último, se muestra el esquema de ejecución del sistema, basado en un ambiente cliente/servidor.

6 Página 5 de 9 Esta gráfica ejemplifica la estructura de capas que conforman al sistema: a) Una capa de datos, la cual reside en última instancia en el servidor determinado para tal fin. b) Una capa de aplicación en la cual se encuentran las reglas del negocio. c) Una capa de presentación que permite a los usuarios sus labores diarias. Requerimientos mínimos de hardware y software A continuación se incluye la información de especificaciones mínimas requeridas para armar un ambiente de pruebas o de certificación previo a la puesta en producción del Sistema. En segunda instancia se presentan las especificaciones mínimas para el ambiente en producción. Estos requerimientos deben ser vistos como mínimos, y por tanto, como un punto de partida. Durante el proyecto debe hacerse una investigación detallada para lograr (en conjunto) una especificación que sea acorde con los niveles transaccionales de la institución, con sus políticas de respaldo y contingencia y con el nivel de histórico que quiera guardarse. AMBIENTE DE PRUEBAS Hardware

7 Página 6 de 9 Servidor de Aplicaciones para el Sistema. Servidor de Base de Datos. Estación de trabajo para pruebas. Intel XEON 2.8 GHz 2 GB RAM 40 GB en delante de disco duro disponible. Se trata de una máquina destinada como servidor de base de datos. Se puede optar por usar la misma máquina de Servidor de Aplicaciones. 1 procesador Pentium IV de 1GHz en adelante. Mínimo 512 RAM. 20 GB de disco duro disponible. Software Servidor Cliente y Servidor de Microsoft SQL Server 2000 Enterprise. Estaciones de trabajo Comunicaciones Windows 2000 Professional, Windows XP o Windows 2000 Advanced Server. Software para realizar acceso remoto desde la estación e trabajo al servidor. Herramientas de cliente de Microsoft SQL Server 2000 Enterprise. Tanto el servidor como los clientes deberán estar en un mismo dominio de Windows. AMBIENTE DE PRODUCCIÓN Hardware Servidor de Aplicaciones. Servidor para base de datos 2 a 4 procesadores Intel XEON 2.8 GHz (o superior). 2 a 4 GB de memoria principal. 80 GB de espacio en disco disponible (mínimo). Por experiencias previas, se puede optar por dos caminos. Utilizar el servidor de aplicaciones de Pointer también como servidor de base de datos, o bien, designar otra máquina especializada como servidor de base de datos. Es probable que este segundo sea la configuración más apropiada. Estaciones de trabajo En cualquiera de los casos, se debe hacer un trabajo de análisis para dimensionar la cantidad de disco que se requiere para soportar la base de datos y las características de la máquina en términos de memoria y procesadores. 1 procesador Pentium IV de 1GHz en adelante. Mínimo 512 RAM. 20 GB de disco duro disponible. Software Servidor Cliente y Servidor de Microsoft SQL Server 2000 Enterprise. Estaciones de trabajo Windows 2000 Professional, Windows XP o Windows 2000 Advanced Server. Software para realizar acceso remoto desde la estación e trabajo al servidor. Herramientas de cliente de Microsoft SQL Server 2000 Enterprise.

8 Página 7 de 9 Interfaces requeridas Desde un punto de vista general, las siguientes son las interfaces que requiere el sistema Pointer dentro de la arquitectura de la institución: 1. Se requiere por una única vez hacer una extracción de datos histórica, siguiendo el formato de variables que en su momento Predisoft entrega. Para confeccionar esta extracción de datos se requerirá un análisis, diseño y programación de una aplicación que obtenga la información del o los repositorios idóneos. Esta extracción de datos histórica es absolutamente requerida. 2. Se requiere una interfaz que haga llegar cada nueva transacción de tarjeta de débito al Sistema Pointer, lo cual es absolutamente requerido. Esto puede lograrse de varias maneras: a. A través de una base de datos puente o staging que tiene la misma estructura que se documenta en su momento. La tabla correspondiente debe residir dentro del mismo servidor de base de datos de Pointer. La institución debe realizar un proceso de análisis, diseño y programación para llevar a cabo esta interfaz. b. Una cola de MQSeries (tecnología IBM) que permite controlar la contención que puede producir una alta cantidad de transacciones por segundo. 3. Se requiere una interfaz para tomar el nombre del tarjeta-habiente, así como su número (o números) de teléfono y su correo electrónico. Esta interfaz es altamente recomendada. Para esto, se puede optar por una de dos opciones: a. Crear un DTS que periódicamente haga un traslado de los datos mencionados desde el repositorio donde se ubican hacia la correspondiente tabla de Pointer. b. Construir una interfaz en el visor, de manera que cuando se requiera obtener el nombre del cliente y sus datos adicionales, se haga. Según la experiencia de Predisoft la primera es la opción idónea, puesto que independiza al Sistema Pointer. Además, la segunda opción tiene el inconveniente de que puede ocasionar problemas de tiempo de respuesta cuando el repositorio donde están los datos esté muy saturado. 4. Interfaz para comunicarse con el sistema autorizador. Esta es una interfaz opcional pero muy útil para los usuarios. El Sistema Pointer podría avisar de algunos eventos al sistema autorizador con propósitos específicos. Las opciones disponibles son: a. Indicar al sistema autorizador que bloquee definitivamente (cerrar) una tarjeta para que no permita en lo sucesivo nuevas autorizaciones. b. Indicar al sistema autorizador que bloquee temporalmente una tarjeta. c. Indicar al sistema autorizador que habilite de nuevo una tarjeta previamente bloqueada. En el caso que estas interfaces quieran implementarse, se debe tener en cuenta que la comunicación que se establezca con el sistema autorizador debe ser bi-direccional. Es decir, Pointer debe tener una respuesta del autorizador después de generada cada orden o petición de cambio. Según la experiencia de Predisoft esta interfaz puede implementarse a través del uso de la tecnología

9 Página 8 de 9 MQSeries. 5. Interfaz para hacer llegar a Pointer los datos de la descripción de los principales códigos que se relacionan con las variables del modelo, tales como descripciones de países, de MCC s de BIN s, etc. Esta interfaz es útil. Según la experiencia de Predisoft esta interfaz puede implementarse fácilmente utilizando tecnología de DTS. 6. Interfaz de datos que permita fácilmente alimentar a Pointer con los datos del fraude conforme este ocurre (esto en el caso que el personal que reciba las reclamaciones de los clientes sea distinto al personal usuario de Pointer). Esta interfaz es opcional ya que los usuarios podrían hacerlo de forma manual sin mayores complicaciones. Aspectos de seguridad Existes múltiples aspectos de seguridad que se administran en el Sistema Pointer. En seguida se hace una exposición de los mismos. Módulo de Seguridad integrado. Predisoft ha creado este módulo para configurar el nivel de seguridad para cada una de sus aplicaciones, en particular el Sistema Pointer. El componente esta diseñado para definir los tópicos referentes al control de acceso y a la seguridad de la aplicación, a saber, roles, políticas, horarios y otros aspectos relativos propiamente al control de acceso a una aplicación. 1. Usuarios privilegiados del Panel de Seguridad El usuario root propietario del sistema de seguridad esta definido previamente como administrador dentro de la instalación de la aplicación. El usuario administrador debe definir el conjunto de usuarios, roles y políticas de la aplicación. 2. Uso del Panel de Seguridad Para ingresar por primera vez al panel de seguridad se debe usar la cuenta de usuario root. Si se desea se puede usar al usuario root para administrar el sistema o se pueden crear más usuarios administradores del sistema. Debe especificar para cada usuario creado que este va ha ser un administrador, ya que por defecto un administrador puede entrar sin restricciones de horario y su cuenta no podrá ser desactivada en un inicio de sesión a menos que se está característica este presente en la instalación del sistema. Cuando se ingresa a la aplicación se cargan los permisos respectivos para ver los componentes o módulos del sistema, al ingresar al panel de seguridad con la opción correspondiente se muestra una ventana para realizar los diversos mantenimientos del panel de seguridad. 3. Panel de Seguridad El panel de seguridad esta compuesto de una interfaz gráfica tipo lobby, esta permite realizar cada uno de los mantenimientos o consultas sobre la seguridad de la aplicación. Se diseño un menú para el acceso a todas las características del sistema así como una barra de herramientas que se encuentra a la izquierda de la ventana principal de la aplicación. Por su parte, existen otros aspectos que se relacionan directamente con aspectos de seguridad, que se enumeran en seguida:! Políticas: conjunto de políticas que aplican sobre la cuenta y el password.! Horarios: conjunto de posibles horarios en los cuales es legítimo que los usuario se conecten.

10 Página 9 de 9! Usuarios: conjunto de personas que utilizan el sistema.! Roles: grupo de usuarios (agrupados con algún criterio lógico).! Contraseñas: permite la administración de los passwords de los usuarios.! Privilegios: cada acción del sistema es identificable y a cada usuario puede permitírsele acceder o no a una acción específica.! Bitácoras: el sistema registra todo el movimiento realizado por los usuarios en una bitácora que luego puede ser consultada y analizada. Existen múltiples propósitos por los cuales la bitácora es de mucha utilidad al momento de dar seguimiento al sistema en producción. Integración con algún sistema Single Sign-On. El Sistema Pointer permite además integrarlo con algún módulo de seguridad centralizado, tipo Single SignOn. En este caso, lo típico en estos casos es que la entidad cuente con un sistema centralizado de administración de los nombres de usuarios y contraseñas. De esta manera, un sistema centralizado (en funcionamiento y administración) se convierte en prestatario de dicho servicio, generalmente a través de Web Services. En este caso, Pointer se puede instalar de manera integrada a dichos sistemas, de manera que la autenticación de usuarios queda en control del sistema Single Sign-On. Una vez autenticado el usuario, se retroalimenta al Sistema de Administración de la Seguridad de Pointer. Pointer consume los Web-Services que el Sistema Single Sign-On pone a disposición de las aplicaciones en la institución. Para otros métodos de comunicación, Predisoft ofrece su disposición para estudiar el caso y confeccionar los respectivos procesos de integración. Seguridad de las Interfaces de datos. Dado que a Pointer deben llegar las transacciones (tarjeta de crédito y tarjeta de débito), se hace imprescindible que a la base de datos que utiliza Pointer se le apliquen los más altos niveles de seguridad. Por esta razón, se aplican esquemas de seguridad en varios lugares: a) Primero en la llegada de transacciones a la base de datos. Se puede optar por utilizar mecanismos de encriptación estándares que permitan que los datos viajen encriptados desde la fuente hasta la base de datos de Pointer. b) Otra alternativa que puede utilizarse es la opción de que los datos (números de tarjeta, principalmente) sean depositados en la base de datos de Pointer de manera enmascarada (o encriptada), lo cual convierte la información en anónima para las personas que interactúan con ella.