Theses supervised by Doç. Dr. Fatih Ertam
12 theses · Fırat University
Veri kazıma yöntemleri ile siber tehdit istihbaratı aracının geliştirilmesi
Teknolojinin giderek gelişmesi ve her türlü bilginin internet ortamına taşınması yeni sorunlara sebep olmuştur. Sorunların başında bu verilerin güvenli bir şekilde saklanması ve muhafaza edilmesi gelmektedir. Çalışmada siber güvenlik ürünlerinden bahsedilmiş ve ne işe yaradıkları belirtilmişlerdir. Siber saldırılarının boyutları anlaşılması için saldırıya uğrayan büyük şirketlere yer verilerek yapılan büyük saldırılara değinilmiştir. Siber güvenlik ürünleri tek başına yetmemekte ve siber istihbarat ile desteklenmelidir. Global ve yerli çözüm istihbarat kaynaklarından bahsederek en popüler programa dili olan python ile siber istihbarat aracı geliştirilmiş ve çıktıları paylaşılmıştır.
Windows işletim sistemi kalıntılarının analizini gerçekleştiren siber olay müdahale aracının geliştirilmesi ve olay zaman çizelgesinin çıkarılması
Windows işletim sisteminin dünya genelinde günden güne kullanımı yaygınlaşmaktadır. Bununla birlikle, windows işletim sistemine ait sürümler gelişmekte ve güncellenmektedir. Windows'un yaygın olarak kullanılan sürümlerinde suç teknikleri ve türevleri sürekli değişmekte, saldırganların kurbanlarını etkisi altına alması hızla artmaktadır. Bu zaman zarfında kurbanların makinelerindeki adli analiz ve adli kopya yöntemlerinin gerçekleştirilmesi uzun sürdüğü için saldırganların tespiti ve saldırının önlenmesi zaman kaybettirmektedir. Windows işletim sistemleri olarak makine üzerinde gerçekleşen süreçleri, kullanıcı aktivitelerini, dosya sistem ve kayıt defteri kayıtlarını, uygulama ve kullanıcı kalıntılarını tespit etmek için güncel yöntemler, araç-gereçler kullanılarak zaman kaybı azaltılmaya çalışılmaktadır. Windows işletim sistemlerinde adli kopya alma ve alınan kopyaların analizinde kullanılan araçlarının genellikle ticari yükünün olması, alanın geliştirilebilirliği yönünde engel arz etmekte ve incelemeleri geciktirmektedir. Bu sebeple açık kaynak kodlu yazılımlar ile kurbanın dahil olduğu olayları doğrudan analiz edebilmeyi sağlayan log kayıtlarının incelenebilmesi zaman ve ticari boyut açısından kayıpları azaltılabilmektedir. Aynı zamanda elde edilen log kayıtları ile saldırı zaman çizelgesi oluşturularak saldırının verdiği zarar gözlemlenebilmektedir. Bu tez çalışmasında Windows işletim sistemlerinde saldırganların genellikle iz bıraktıkları log kayıtları ve kalıntıların toplanmasının ardından ayrıştırılması ve ardından olay zaman çizelgesinin çıkarılması sunulmuştur. Kalıntıların ayrıştırılması için güncel yöntemlerin yanı sıra açık kaynak kodlu siber olay müdahale aracının geliştirilmesi gerçekleştirilmiştir. Ayrıştırılan kalıntıların, olay-zaman çizelgesi oluşturularak saldırgan-kurban ilişkisinin kayıt çizelgesinden bahsedilmektedir. Bu tez çalışmasında geliştirilen ve IR-Parser adı verilen yazılımın adli bilişim ve siber güvenlik alanında çalışan insanlara faydalı olacağı düşünülmektedir.
Olay müdahalesi kapsamında windows işletim sistemine sahip cihazlardan triyaj kayıtlarının elde edilmesi
Günümüzde, siber saldırganlar ele geçirdiği makineler üzerinde hızlı yayılım gösterebilmektedir. DFIR ekipleri, saldırının izlerini tespit etmek ve takip etmek için güvenlik ihlaline maruz kalan makinelere ait disklerin fiziksel veya mantıksal disk imajları almaktadırlar. Olay müdahale ve adli bilişim süreçlerinde vakaya ait dijital delillerin toplanması önem arz etmektedir. Herhangi bir vakada enfekte olmuş makinelerden disk imajı alıp analizini sağlamak uzun uğraşlar gerekmektedir. Adli bilişim uzmanları, saldırının takibi sürdürebilmesi için bazı makinelerden hızlı veriler toplayıp analiz etmelidir. Enfekte olmuş cihazlardan saldırının kaynağının ve yayılımın tespiti için Windows işletim sistemine sahip sistemlerden birkaç dosya sistem kaydı veya log dosyalarının toplanması ile sağlanmaktadır. Adli bilişim uzmanının, vakanın hızlı analizi için canlı bir sistemden veya adli bir imaj içerisinden önemli işletim sistemi dosyalarını toplaması yeterli olacaktır. Bu tez çalışmasında, programların çalıştırılma, silinen veya bilinmeyen dosya, kullanıcı aktivite kayıtları ele alınmıştır. Windows işletim sistemlerine sahip local veya remote makineler üzerinde önemli kayıtların triyaj yöntemleri ile toplanmasından söz edilmiştir. Bu tez çalışması kapsamında, Windows aktif dizini üzerinde yer alan cihazlara uzaktan bağlanarak cihazlar üzerinden dosya sistem ve uygulama kayıtlarının toplanmasını sağlayan ve Powershell betiğinde geliştirilen PS-TRIAGE isimli yazılım kodlanmıştır. PS-TRIAGE yazılımı ayrıca, makine üzerinden toplanan triyaj kayıtlarında ön analiz sağlayarak ve olay müdahale analistine çıktı olarak vermektedir.
Android cihazlarda zararlı yazılım analizinin adli bilişim bakımından gerçekleştirilmesi
Teknolojinin ilerlemesiyle beraber günümüzde gerçekleştirilen siber suçlar saldırganlar tarafından saldırı vektörleri kullanılarak kullanıcının mobil cihazında çeşitli işlemler yapabilmektedir. Mobil cihaz türlerinden biri olan Android cihazlar, Android işletim sistemindeki zayıflıklardan, uygulama mağazasındaki zafiyetlerden kaynaklı kolayca istismar edilebilmektedir. Adli soruşturmalar için büyük verileri bulunduran Android cihazlardaki zararlı yazılımların adli bilişim bakımından incelenmesi önem arz etmektedir. Android cihazların, uygun adli bilişim araçları ile adli kopya alma, inceleme ve analiz süreçlerinin gerçekleştirilmesi soruşturmaların açığa çıkmasına katkı sağlamaktadır. Bu nedenle, uzmanların Android cihazları inceleyen adli bilişim araçları hakkında yeterli bilgiye, donanıma ve tecrübeye sahip olması gerekmektedir. Android cihazların sürekli olarak kendini güncellemesi, yeni özelliklerin eklenmesi nedeniyle Android cihazları inceleyen adli bilişim araçlarının güncel sürümlerinin kullanılması gerekmektedir. Yapılan tez çalışmasında, saldırgan bakış açısıyla sızma testi senaryoları gerçekleştirilerek teknik ve teori bilgilere yer verilmiş olup Android cihazda zararlı yazılım analizinin adli bilişim bakımından incelenmesi gerçekleştirilmiştir. Android cihazda zararlı yazılım analizinin adli bilişim bakımından gerçekleştirilmesi noktasında en az iki mobil adli bilişim yazılımı ile mantıksal ve fiziksel imaj yöntemi ile incelenmesi önerilmektedir. Zararlı yazılımlara ait bulgu tespit edildiği noktada manuel inceleme yöntemi tercih edilerek zararlı uygulamaların statik ve dinamik analizinin gerçekleştirilmesi gerektiği kanısına varılmaktadır.
Detection and analysis of cyber-attacks on IoT network devices
One of the most pressing concerns in network forensics is the detection of cyber-attacks in the IoT networks and their devices. Traditional intrusion detection systems based on signature rules are unable to detect current attack types. Hence, the need to urgently develop advanced methods for classifying IoT network traffic that can swiftly detect cyber-attacks becomes inevitable. This research aims to develop machine learning algorithms for cyber-attack detection in IoT-based networks, by analyzing the traffic data composed from the network itself. An ideal IoT network was implemented solely for the attack scenarios and generation of a dataset. The self-generated dataset from the IoT network was utilized for the comparison of machine learning algorithms suitable for the classification of attack-to-normal network traffic data. The algorithms are expected to classify the multi-class data into nine classes (normal traffic inclusive).
Linux sistemler için derinlemesine adli analiz yapılarak kalıcılık yapılarının tespit edilmesi
Günümüzde, siber saldırganlar ele geçirdiği makineler üzerinde hızlı bir şekilde yayılım gösterebilmektedir. Olay müdahale ekipleri, saldırının izlerini tespit etmek ve olası tehditleri takip etmek için güvenlik ihlaline maruz kalan makineler üzerinde uçtan uca inceleme yapmaktadır. Olay müdahale ve adli analiz süreçlerinde dijital delillerin incelenmesi ve kovuşturma evresine geçiş yapılması büyük önem taşımaktadır. Windows işletim sistemlerinde Adli bilişim uzmanları, saldırının takibi sürdürebilmesi için bazı makinelerden toplu ve hızlı şekilde veriler toplayıp analiz edebilme imkanına sahiptir. Linux açık kaynak kodlu işletim sistemlerinde görünürlük daha kısıtlı olduğundan ilgili kaynakların değerlendirilmesi ve anlamlandırılması gerekmektedir. Adli analiz süreçlerinin yaygınlık göstermesi ve gelişen teknoloji yapısı ile Linux açık kaynak kodlu işletim sistemlerinde de saldırının kaynağının ve yayılımın tespiti için dosya sistem kayıtları veya log dosyalarının toplanması analiz süreçleri yönetilmiştir. Windows işletim sisteminde adli delil nitelikleri daha fazla ve açık iken, Linux sistemlerde saldırı aktiviteleri görünürlüğü bakımından daha azdır. Saldırganlar belirli yöntemler ile sistemleri ihlal etmekle kalmayıp, sistem üzerinde kalıcılık bırakarak zamanlanmış görevler ekleyerek sistemden bilgi toplama amaçlı mekanizmalar üretmeye çalışmaktadır. Adli bilişim uzmanının, vakanın hızlı analizi için canlı bir sistemden veya adli bir imaj içerisinden önemli işletim sistemi dosyalarını toplaması yeterli olacaktır. Bu tez çalışmasında, Linux işletim sistemlerinde adli analiz süreçlerinin yönetilmesi, saldırganların Linux sistemlerde kalıcı olmak için hangi yapıları kullandıkları test edilerek ve tespitler analiz süreçleri ışığında aktarılacaktır. Linux sistemlerde kalıcı olan saldırı aktivitelerini tespit edememek kurumsal ağ için büyük tehdit oluşturmaktadır. Bu tez çalışması kapsamında, Linux işletim sistemi üzerinde yer alan cihazların aktif dizinlerinden toplanan veriler ile saldırı aktivitelerinin tespiti ve kovuşturma evresine kadar bulunan sürecin yönetilmesi ve zamanlanmış saldırı görevleri yaparak sistem üzerinde uzun yıllar kalıcı olmayı amaçlayan birtakım işlemler aktarılmıştır.
Bilgisayar sistemlerine yönelik tehdit ve saldırıların makine öğrenmesi teknikleri kullanılarak ağ adli bilişimi açısından analizi
Teknolojinin ileri düzeyde gelişmesiyle, internet kullanımı ve ağa bağlı cihaz sayısında her geçen gün artış görülmektedir. Bu artış ile birlikte şirketler için önemli kayıplara neden olan siber saldırılarda artmaktadır ve bu saldırılar farklı şekillerde karşımıza çıkmaktadır. Ağ bağlantısının kesilmesi ve ağın sağladığı hizmetlerin kaybı kurumlar için ciddi kayıplara sebep olabilir. Bu nedenle savunma stratejilerinin geliştirilmesi ve saldırılara karşı daha etkili tedbirlerin alınması önem arz etmektedir. Bu tez, bilişim sistemlerine yönelik gerçekleşen saldırıların makine öğrenmesi teknikleri kullanılarak ağ adli bilişimi açısından analizi konu almaktadır. İlk olarak sanal ortamda farklı saldırı senaryoları gerçekleştirilmiştir. Yapılan saldırılardaki ağ paketleri kayıt altına alınıp özellik çıkartılarak veri seti oluşturulmuştur. Bu veri seti ile Random Forest, Support Vector Machine (SVM), Naive Bayes, Lojistik Regresyon ve Decision Tree sınıflandırma algoritmaları kullanılarak sınıflandırma yapılmış ve performans metrikleri kullanılarak performans sonuçları karşılaştırılmıştır.
Kablosuz ağlar üzerinden gerçekleştirilen siber tehditlerin makine öğrenmesi yöntemleri ile ağ adli bilişim analizinin gerçekleştirilmesi
Teknolojinin gelişmesi ile beraber teknolojik cihazlara yapılan saldırılar da artış göstermiştir. Artan siber saldırılar ile beraber kullandığımız cihazlar her an tehdit altında olabilmektedir. Birbiri ile iletişim halinde bulunan bu cihazlardan herhangi birine tehdit unsurunun erişmesi, ağda ki tüm cihazları tehlikeye sokabilmektedir. Ağ ortamlarına bağlı olan cihazların sayısının fazlalığı göz önünde bulundurularak bu çalışma ele alınmıştır. Bu çalışmada olası bir siber saldırıda sistemlerde oluşabilecek ağ trafiği oluşturularak, elde edilen trafikleri, farklı sınıflandırma algoritmalarını kullanarak eğitmek amaçlanmıştır. Oluşturulan test ortamında farklı siber saldırılar gerçekleştirilmiş, siber saldırılar sırasında elde edilen ağ paketlerinin özellikleri çıkartılmış ve yaygın kullanılan sınıflandırma algoritmaları ile eğitim işlemleri gerçekleştirilmiştir. Yapılan işlemler sonucunda kullanılan sınıflandırma algoritmaları arasında en iyi başarı oranı sağlayan sınıflandırma algoritması belirlenmiştir.
İnsansız hava araçlarına yönelik siber tehditlerin yapay zeka destekli tespiti ve adli analizi
Dijitalleşmenin hızla ivme kazandığı günümüzde, insansız hava araçları (İHA/UAV), sivil, endüstriyel ve askeri birçok alanda yaygın olarak kullanılmaya başlanmıştır. Otonom görev icrası gerçek zamanlı veri toplama ve esnek operasyon kabiliyeti gibi özellikleriyle ön plana çıkan bu sistemler, aynı zamanda siber güvenlik tehditlerine karşı savunmasız yeni bir yüzey ortaya koymaktadır. Artan bu saldırı yüzeyi UAV sistemlerini siber saldırganlar için yüksek değerli hedefler hâline getirmiştir. Bu bağlamda gerçekleştirilen bu tez çalışmasında insansız hava araçlarına yönelik siber saldırıların simülasyon ortamında modellenmesi, saldırıların uçuş parametreleri üzerindeki etkilerinin incelenmesi ve saldırıların yapay zekâ tabanlı yöntemlerle tespit edilebilirliğinin değerlendirilmesi amaçlanmıştır. PX4 uçuş yığını kullanılarak jMAVSim ve Gazebo ortamlarında geliştirilen senaryolar arasında GPS Spoofing, Control Hijack ve Velocity DoS gibi saldırılar yer almakta; her uçuş sonrasında elde edilen günlük dosyaları .ulg formatından CSV formatına dönüştürülmüştür. Elde edilen veriler üzerinde veri temizleme, öznitelik seçimi, standardizasyon ve etiketleme işlemleri gerçekleştirilmiş; saldırılar çok sınıflı yapıda modellenmiştir. Modelleme sürecinde XGBoost, LightGBM, Random Forest ve Logistic Regression gibi algoritmalar kullanılmıştır. Elde edilen sonuçlara göre LightGBM, %96,3 doğruluk ve %95,8 F1-skoru ile en yüksek performansı göstermiştir. ROC AUC ve Confusion Matrix analizleri de LightGBM'in istikrarlı bir sınıflandırma başarısı sunduğunu doğrulamıştır.
Windows domain sistemlerine yönelik siber saldırıların tespiti için kural tabanlı bir yaklaşımın geliştirilmesi
Domain sistemleri, kimlik bilgileri, erişim kontrolleri ve yetkilendirme gibi önemli işlevlerin yanı sıra, objelerin içerdiği değerli bilgileri de içerisinde depolar. Sisteme sızan saldırganlar, bu işlevlerin merkezinde domain sisteminin yer aldığını bildiğinden dolayı, sıklıkla bu sistemi hedef alır. Bu doğrultuda, domain servisini doğrudan hedef alarak kimlik bilgilerini ele geçirebilir, kullanıcıların ve grupların erişim haklarını ele geçirip yetkisiz kullanıcılarla gizli verilere erişebilir veya farklı sistemlere yayılma ve erişim haklarını artırabilirler. Ayrıca, sistemler üzerinde kalıcılık sağlayarak, sisteme tekrar sızmadan erişim sağlayabilir, Domain yapısında bulunan cihazlarda hizmet kesintisi yaşatabilir, kullanıcıların özel bilgilerine ulaşarak sosyal mühendislik yöntemleri uygulayabilir ya da domain sisteminin depoladığı bilgileri şifreleyerek fidye talebinde bulunabilirler. Bu tür saldırılar veya benzer kötü niyetli girişimlerle hedef alınan sisteme zarar veren saldırganlar, sadece sistemin işleyişini aksatmakla kalmaz, aynı zamanda kuruma ciddi maddi kayıplar ve itibar zedelenmesi gibi manevi zararlar da verebilir. Bu durum, kurumun güvenilirliğini sarsarak, uzun vadede müşteri ve iş ortakları nezdinde olumsuz bir algı yaratabilir, hatta kurumun faaliyetlerini sürdürebilmesini tehlikeye sokabilir. Domain sisteminin bir kuruluşun hassas verilerine ve kaynaklarına erişimi düzenlemedeki önemli rolü göz önüne alındığında, kuruluşların bu tür saldırılara karşı savunma yapmak için proaktif önlemler alması zorunludur. Active Directory sistemlerini korumak, güvenlik ekipleri için kritik bir odak noktasıdır. Bu saldırıları tanımlamak ve domain sistemlerine yönelik saldırılar hakkında bilgi sahibi olmak, siber güvenlik ekipleri için büyük bir avantaj sağlar. Bu siber saldırı türlerinin ve bu tür saldırılara karşı yapılan atakların tespitinin sağlanması için Sigma kuralı geliştirilmesi önemli bir husustur. Bu tez çalışması, Windows Domain sistemlerine yönelik siber saldırıların tespitinde kullanılabilecek kural tabanlı bir yaklaşım geliştirmiştir. Çalışma, Sigma kurallarını temel alarak Active Directory ortamlarında meydana gelebilecek çeşitli saldırı vektörlerini tanımlamış ve bu saldırılara karşı etkili tespit yöntemleri sunmuştur. Bu doğrultuda, kurumların siber güvenlik ekiplerine saldırı tespiti ve önleme süreçlerinde rehberlik edecek bir çözüm sağlamıştır. Tez, özellikle kritik verilerin ve kaynakların korunmasını hedef alan bu yaklaşımıyla, saldırıların erken aşamada tespit edilerek olası zararların en aza indirilmesine katkı sunmaktadır.
Otonom araçlara yönelik siber saldırıların tespiti için yapay zeka destekli saldırı tespit sisteminin geliştirilmesi
Teknolojinin gelişmesi, hayatın her alanında toplumların konfor ve refah seviyesini artırmaktadır. Bu gelişim, başta ulaşım olmak üzere çeşitli alanlarda karşımıza çıkmaktadır. Bu doğrultuda akıllı sistemlerin otomobillere entegrasyonuyla beraber otonom araçların yaygınlaşması sağlanmıştır. Otonom araçların kendi sistem ve ağlarına sahip olması, otonom araçlara yönelik yapılabilecek siber saldırıların da önünü açmıştır. Bu tür saldırıların genellikle üç amacı bulunmaktadır. Bunlar, sisteme sızarak sistem bileşenlerinin kontrolünü ele geçirmek, sistem ağına yük bindirerek sistemin yavaş çalışmasına sebebiyet vermek ve sistemin çökmesini sağlamaktır. Otonom araçlara yönelik siber saldırıların bu tür ciddi sonuçlarının olması, otonom araçların siber saldırılara karşı korunmasını sağlayacak güvenlik tedbirlerinin alınmasını zorunlu kılmıştır. Bu tez çalışmasında, akıllı araçların araç içi ağlarına yönelik gerçekleştirilen siber saldırıların makine öğrenmesi modelleri kullanılarak tespiti gerçekleştirilmiştir. Simülasyon ortamı oluşturularak siber saldırılar gerçekleştirilmiş ve veri seti oluşturulmuştur. Ardından veri seti, XGBoost, LightGBM, Rastgele Orman ve Karar ağaçları algoritmaları ile sınıflandırılarak performans karşılaştırmaları yapılmıştır. Yapılan deneyler sonucunda en iyi doğruluk oranını %86.22 ile XGBoost verirken, en düşük doğruluk oranını ise %80.7 ile Karar Ağaçları algoritması vermiştir. Yapılan tez çalışmasının, akıllı araç güvenlik uzmanlarının siber tehditleri engelleme çalışmalarına katkıda bulunacağı ve akıllı araç siber güvenliği hakkındaki farkındalığı artıracağı düşünülmektedir.
Uluslararası hukuk ve teknik standartlarına uyumlu adli bilişim süreçlerinin geliştirilmesi
Bu çalışma, adli bilişim süreçlerinin uluslararası hukuk ve teknik standartlarla uyumlu bir şekilde geliştirilmesinin önemini ve yöntemlerini incelemektedir. Teknolojinin hızla gelişmesi ve dijital verilerin adli olayların aydınlatılmasında artan önemi, adli bilişim disiplinine duyulan ihtiyacı artırmıştır fakat bu süreçlerin güvenilirliği ve geçerliliği için uluslararası normlara ve teknik standartlara uyum büyük önem taşımaktadır. Çalışma, mevcut adli bilişim süreçlerinde karşılaşılan hukuki ve teknik uyumsuzlukları analiz etmekte ve bu uyumsuzlukların giderilmesine yönelik çözüm önerileri sunmaktadır. Aynı zamanda çeşitli ülkelerdeki yasal düzenlemeler ve adli bilişim standartları karşılaştırılarak, uyumlu bir süreç geliştirilmesi için gereken adımlar ortaya konmaktadır. Bu bağlamda hem hukuki düzenlemeler hem de teknik standartlar incelenmiş ve adli bilişim uzmanlarının bu gereksinimleri karşılayabilmesi için yol haritası önerilmiştir. Bu tez çalışması, adli bilişim alanında daha güvenilir, şeffaf ve uluslararası kabul gören süreçlerin oluşturulmasına katkı sunmayı amaçlamaktadır.