Anomaly detection in ınternet of medical things using deep learning

Sağlık hizmetlerinin dijital dönüşümü, özellikle Tıbbi Nesnelerin İnterneti (IoMT) teknolojilerinin yaygınlaşmasıyla birlikte önemli bir ivme kazanmıştır. IoMT, sensörler, giyilebilir cihazlar, implantlar, akıllı monitörler ve hasta takibi yapan tıbbi sistemlerin internete bağlanarak veri toplaması, işlemesi ve paylaşmasını mümkün kılan bir altyapıdır. Bu sistemler; uzaktan teşhis, gerçek zamanlı hasta izleme, ilaç takibi, acil müdahale sistemleri ve ameliyat sonrası bakım süreçlerinde kullanılmakta, hasta güvenliğini ve sağlık hizmetlerinin verimliliğini artırmaktadır. IoMT sayesinde doktorlar, hastalarla fiziksel temasa gerek kalmadan sürekli veri akışı sağlayabilirken, erken teşhis ve hızlı müdahale olanağı da sağlanmaktadır. Ancak bu dijitalleşme süreci, beraberinde ciddi güvenlik açıklarını ve siber tehditleri de getirmektedir. IoMT sistemleri, hem bireysel hem kurumsal düzeyde büyük miktarda hassas veriyi işler. Bu veriler; hastanın kimlik bilgileri, tıbbi geçmişi, anlık sağlık durumu ve tedavi süreci gibi kritik içerikler barındırır. Bu tür bilgiler siber saldırganlar için oldukça değerli olup, fidye yazılımları, veri sızıntıları ve kimlik hırsızlığı gibi saldırılara davetiye çıkarmaktadır. Ayrıca, IoMT cihazlarının çoğu sınırlı işlem gücüne ve enerji kapasitesine sahip olduğundan, geleneksel güvenlik protokollerini uygulamakta zorlanmakta ve bu durum onları daha savunmasız hale getirmektedir. IoMT sistemlerinde karşılaşılan başlıca tehditler arasında veri gizliliği ihlalleri, hizmet kesintileri, yetkisiz erişim, cihaz sahteciliği, yazılım açıklıklarının kötüye kullanılması, kötü amaçlı kod enjeksiyonu, fiziksel güvenlik açıkları ve tedarik zinciri saldırıları yer almaktadır. Ayrıca, bu cihazların birçok farklı üretici tarafından geliştirilmesi ve genellikle merkezi olmayan yapılara sahip olması, güvenlik yönetimini daha karmaşık hale getirmektedir. Tıbbi Nesnelerin İnterneti (IoMT) ağlarında, trafik hem iyi huylu (benign) hem de kötü niyetli (malicous) faaliyetlerden oluşabilir. İyi huylu trafik, herhangi bir zararlı amaç olmaksızın rutin veri toplama ve iletimi gibi cihazlar arasındaki normal iletişimi ifade eder. Ancak, çeşitli siber saldırı türleri bu ağları bozabilir. Bir Hizmet Reddi (DoS) saldırısı, kaynaklarını tüketmek ve kullanılamaz hale getirmek için çok sayıda istekle tek bir cihazı veya sunucuyu hedef alır. Bunun daha ciddi bir versiyonu, birden fazla tehlikeye atılmış cihazın aynı anda hedef sistemi sular altında bırakarak kurtarmayı daha da zorlaştırdığı Dağıtılmış Hizmet Reddi (DDoS) saldırısıdır. Sahtecilik, bir saldırganın yetkisiz erişim elde etmek veya iletişimi engellemek için IP veya MAC adresleri gibi verileri tahrif ederek kendisini güvenilir bir cihaz gibi gizlemesini içerir. Keşif (Recon) saldırıları, ağda güvenlik açıklarını araştırmak, hassas bilgileri toplamak ve gelecekteki istismar için sistemin mimarisini haritalamak için kullanılır. MQTT gibi hafif iletişim protokollerinin yaygın olduğu IoMT'de saldırganlar, kötü amaçlı yükler enjekte etmek, veri akışlarını ele geçirmek veya cihazlar ile sunucular arasındaki mesajlaşmayı bozmak için MQTT tabanlı güvenlik açıklarından yararlanabilir. Bu çeşitli tehditleri anlamak ve tespit etmek, IoMT sistemlerinin bütünlüğünü, gizliliğini ve kullanılabilirliğini korumak için önemlidir. IoMT sistemlerinin sunduğu avantajlardan en üst düzeyde yararlanabilmek için, bu sistemlerin karşı karşıya olduğu siber güvenlik tehditlerine karşı gelişmiş koruma stratejilerinin geliştirilmesi ve uygulanması büyük önem taşımaktadır. Bu yüksek lisans tezinde, IoMT ağlarında ortaya çıkan siber güvenlik açıklarının tespiti amacıyla gelişmiş anomali tespit yaklaşımları araştırılmış ve derinlemesine incelenmiştir. Araştırmanın temel amacı, modern ağ trafiği içinde normal ve anormal davranışları ayırt edebilen, öğrenme yeteneğine sahip makine öğrenmesi (ML) ve derin öğrenme (DL) tabanlı çözümler geliştirmek ve değerlendirmektir. Bu doğrultuda, günümüzün en kapsamlı ve gerçekçi veri kümelerinden biri olan CICIoMT2024 veri kümesi kullanılmıştır. Bu veri kümesi, çeşitli IoMT cihazlarından toplanan ağ trafiği verilerini içermekte olup 18 farklı saldırı türünün yanı sıra normal (benign) trafiği de kapsamaktadır. Tez çalışması üç temel sınıflandırma görevi üzerine yapılandırılmıştır: ikili sınıflandırma (zararsız vs. saldırı), 6 sınıflı sınıflandırma (saldırı türlerinin kategori bazında gruplanması) ve 19 sınıflı ayrıntılı saldırı sınıflandırması. İlk aşamada, temel makine öğrenmesi modelleri olan Lojistik Regresyon, Rastgele Orman (Random Forest) ve AdaBoost algoritmaları uygulanmıştır. Bu algoritmalar, standart ön işleme adımlarından geçirilen veri üzerinde eğitilmiş; veri temizleme, sınıf dengesizliğinin giderilmesi ve temel başarı metriklerinin (doğruluk, kesinlik, duyarlılık, F1 skoru) hesaplanması süreçleri takip edilmiştir. İkili sınıflandırma görevinde Random Forest modeli %98 doğruluk oranı ile oldukça başarılı sonuçlar vermiştir. Bu durum, karar sınırlarının belirgin olduğu basit görevlerde klasik modellerin hâlâ etkili olduğunu göstermektedir. Daha karmaşık sınıflandırma görevleri için derin öğrenme modelleri tercih edilmiştir. Bu kapsamda, Derin Sinir Ağları (DNN), 1-Boyutlu Konvolüsyonel Sinir Ağları (Conv1D), Yinelemeli Sinir Ağları (RNN) ve Uzun-Kısa Süreli Bellek (LSTM) gibi farklı DL mimarileri denenmiştir. Bu modellere ek olarak, hibrid yapıda olan ve RNN ile LSTM katmanlarının üzerine Dikkat Mekanizması (Attention) entegre edilen özel mimariler tasarlanmıştır. Bu hibrid model, zaman serisi tabanlı ve çok değişkenli verileri işleyebilme kabiliyeti sayesinde daha karmaşık görevlerde yüksek başarı sağlamıştır. Özellikle Yinelemeli Sinir Ağları, Uzun-Kısa Süreli Bellek ve Dikkat Mekanizması ile oluşturulan mimari, 2 sınıflı görevde %99, 6 sınıflı görevde %82 ve 19 sınıflı görevde %66 doğruluk oranı elde etmiştir. Bu oranlar, tek başına kullanılan DL mimarilerine kıyasla önemli bir gelişme ortaya koymuştur. Dikkat Mekanizması (attention), modelin giriş verilerindeki en anlamlı zaman adımlarına odaklanmasını sağlayarak, özellikle saldırı davranışlarının aralıklı veya gizli biçimde ortaya çıktığı durumlarda önemli bir avantaj sağlamıştır. Bu sayede, normal trafik ile benzer özellikler taşıyan DoS ve DDoS gibi saldırı türlerinin ayrımı daha başarılı bir şekilde gerçekleştirilmiştir. Ayrıca, hibrid modellerin katmanlı yapısı, verideki hem kısa vadeli (RNN katmanları ile) hem de uzun vadeli bağımlılıkları (LSTM katmanları ile) yakalayabilme imkânı sunmuştur. Bu başarılı sonuçlara rağmen çalışmada bazı kısıtlar da tespit edilmiştir. Öncelikle, çalışmanın tek bir veri kümesi ile sınırlı olması modelin genellenebilirliği açısından kısıtlayıcıdır. Ayrıca, derin öğrenme modelleri yüksek hesaplama maliyeti gerektirdiğinden, gerçek zamanlı veya uç nokta (edge) cihazlarda uygulanabilirlik açısından dezavantaj oluşturabilmektedir. Sınıf dengesizliği, her ne kadar örnekleme teknikleri ile azaltılmış olsa da, az temsil edilen saldırı türlerinde model başarısında düşüş yaşanmasına neden olmuştur. Bu kısıtların üstesinden gelmek ve alana katkı sağlamak amacıyla tezde çeşitli gelecek çalışmalara yönelik önerilerde bulunulmuştur. Öncelikli olarak, geliştirilen modellerin kenar cihazlarda (edge devices) çalıştırılabilmesi için model küçültme yöntemleri (örneğin pruning, quantization ve bilgi damıtma - knowledge distillation) ile optimize edilmesi önerilmektedir. Bununla birlikte, modelin karar mekanizmasının anlaşılabilirliğini artırmak adına açıklanabilir yapay zekâ (XAI) yaklaşımlarına da yer verilmelidir. SHAP, LIME veya dikkat ısı haritaları gibi araçlarla modelin hangi özelliklere göre karar verdiği görselleştirilebilir ve kullanıcı güveni artırılabilir. Ayrıca, veri kümesinin zenginleştirilmesi ve farklı kaynaklardan gelen IoMT trafiğinin modele dâhil edilmesi, genellenebilirliği artıracaktır. Özellikle farklı protokoller, cihaz türleri ve kullanım senaryoları içeren yeni veriler, modelin daha geniş kullanım alanlarında uygulanmasını sağlayacaktır. Öznitelik mühendisliği (feature engineering) alanında yapılacak geliştirmeler, modelin daha ayrıntılı saldırı türlerini ayırt edebilmesini kolaylaştırabilir. Özellikle mevcut özniteliklerin yetersiz kaldığı durumlarda, pcap dosyalarından yeniden ve daha ayrıntılı öznitelikler çıkarılması model başarısını artıracaktır. Modelin değişen trafik koşullarına ve çevresel değişkenlere uyum sağlayabilmesi için çevrim içi öğrenme (online learning), sürekli öğrenme (continual learning) ve alan uyumlaması (domain adaptation) gibi teknikler de önerilmektedir. IoMT sistemleri dinamik yapılara sahip olduğu için bu tür teknikler modelin zamana bağlı değişikliklere karşı dayanıklı kalmasını sağlayacaktır. Bununla birlikte, geliştirilen modellerin diğer veri kümeleri üzerinde test edilmesi, çapraz veri kümesi genelleme (cross-dataset generalization) konusunda önemli bilgiler sunacaktır. Böylelikle, modellerin farklı sistemlerdeki saldırılara karşı ne derece etkili olduğu değerlendirilebilecektir. Sonuç olarak, bu tez çalışması, IoMT ağlarında anomali tespiti için geliştirilen klasik makine öğrenmesi ve modern derin öğrenme tabanlı yaklaşımların kapsamlı bir karşılaştırmasını sunmaktadır. CICIoMT2024 veri kümesi üzerinde gerçekleştirilen deneyler sonucunda, özellikle hibrid DL modellerin çok sınıflı görevlerde öne çıktığı gözlemlenmiştir. Dikkat mekanizması, zamana duyarlı ve değişken yapılı trafiklerde karar verme sürecini önemli ölçüde iyileştirmiştir. Ancak bu başarıyı gerçek dünya koşullarına taşıyabilmek için açıklanabilirlik, model küçültme, veri kümesi çeşitlendirme ve adaptif öğrenme alanlarında yapılacak çalışmalar gerekmektedir. Sağlık hizmetlerinin daha fazla dijitalleştiği bu çağda, güvenli, ölçeklenebilir ve akıllı saldırı tespit sistemlerinin önemi her geçen gün artmaktadır. Bu çalışma, gelecekte geliştirilecek güvenlik altyapıları için önemli bir temel teşkil etmektedir.