IoT ağları için yeni bir saldırı tespit sistemi tasarımı

Nesnelerin İnterneti (IoT) teknolojisinin yaygınlaşması, beraberinde önemli güvenlik açıklarını da gündeme getirmiştir. Düşük donanım gücüne sahip, çeşitli protokollerle çalışan ve genellikle güvenlik açısından yetersiz olan bu cihazlar, Mirai gibi kötü amaçlı yazılımların hedefi hâline gelmekte ve büyük ölçekli DDoS saldırılarına zemin hazırlamaktadır. Kullanılan veri seti, güncel ve gerçekçi yapısıyla bilinen CIC-IoT2023'tür. 105 farklı cihaz ve 33 saldırı türü içeren bu veri setinden özellikle Mirai varyantları ve DDoS kategorileri seçilmiş, bu sayede sistemin gerçek dünya koşullarına daha yakın senaryolarda test edilmesi sağlanmıştır. Model, TensorFlow tabanlı olarak Google Colab ortamında eğitilmiş, veri dengesizliği SMOTE ve class-weight gibi stratejilerle giderilmiştir. Özellik seçimi için chi-square ve LightGBM gibi yöntemler kullanılmıştır. CIC-IoT2023 veri setinin bu çalışmada kullanılan versiyonu, çeşitli DDoS ve Mirai tabanlı saldırı türlerinin yanı sıra normal (Benign) trafiği de içerecek şekilde yapılandırılmıştır. LSTM, BiLSTM ve CNN-BiLSTM+Attention modelleri ile çok sınıflı (multi-class) çalışılmıştır. Veri setindeki eksik ve anlamsız verilerin temizlenerek model eğitimdeki sapmalar minimize edilmiştir. Özellikle modelde ezberlemeye neden olan sütunların veri setinden çıkarılması, overfitting riskini önemli ölçüde azaltmıştır. Çalışmada, özelliklerin değer aralıklarını normalize etmek amacıyla RobustScaler ve MinMaxScaler birlikte kullanılmıştır. Yüksek boyutlu veriyle çalışıldığı için SelectKBest yöntemiyle chi² testi uygulanmış ve en iyi 15 özellik seçilmiştir. LSTM ve BiLSTM modelleri %98'lik başarım değerleri ile birbirine oldukça yakın sonuçlar verirken, CNN-BiLSTM + Attention mimarisi, özellikle Mirai-Greeths ve Mirai-Greips sınıflarında daha düşük performans sergilemiştir. Model performansının sınıf bazlı detaylı analizini yapabilmek adına, ROC (Receiver Operating Characteristic) ve PR (Precision-Recall) eğrileri değerlendirilmiştir. LSTM modeline ait ROC eğrisi, modelin genel anlamda oldukça başarılı bir ayırt etme kapasitesine sahip olduğunu ortaya koymaktadır. Benign, DDoS-SYN, DDoS-TCPs, DDoS-UDP ve Mirai-udpplains gibi sınıflar için AUC = 1.00 seviyesinde değerler elde edilmiş, Mirai-Greeths ve Mirai-Greips gibi örüntüleri benzeşen alt sınıflarda ise AUC = 0.99 değerleri gözlemlenmiştir. BiLSTM modeli, çift yönlü öğrenme kapasitesi sayesinde özellikle zaman bağımlı örüntülerde daha derin bağlamları kavrayabilmektedir. BiLSTM modeli için ROC eğrilerinde model, Benign ve DDoS türlerinde AUC = 1.00 düzeyinde bir başarıya ulaşmıştır. Ancak Mirai-Greeths sınıfı için AUC = 0.97, Greips için ise AUC = 0.98 değerleri gözlemlenmiştir. CNN-BiLSTM + Attention modeli Precision-Recall (PR) eğrileri, özellikle dengesiz veri yapılarında sınıf bazlı doğruluğu ölçmek açısından kritiktir. Bu modelde Benign ve DDoS sınıflarında AP (Average Precision) değeri 1.00 olarak ölçülmüş olsa da, Mirai-Greeths sınıfı için AP = 0.84 ve Mirai-Greips için AP = 0.87 değeri elde edilmiştir. Üç modelin confusion matrix sonuçları birlikte değerlendirildiğinde Benign, DDoS-SYN, DDoS-TCPs ve DDoS-UDP gibi temel sınıflarda modellerin yüksek doğrulukta tahmin yaptığı anlaşılmaktadır. Ancak Mirai alt sınıflarında, benzer davranış desenleri sebebiyle modeller için daha zorlayıcı olmuştur. Bu durum, model mimarisi seçiminde sınıf yapısının ayrıştırılabilirliğinin göz önünde bulundurulması gerektiğini ortaya koymaktadır. Elde edilen sonuçlar, literatür ile karşılaştırıldığında veri setinde tercih edilen yöntem mimarilerinin hem performans hem de işlem süresi açısından dengeli bir çözüm sunduğu gözlemlenmiştir. Bu tez, IoT ortamlarında saldırı tespitine yönelik yapay zekâ destekli çözümlerin etkinliğini ortaya koymakta ve sektörel uygulamalar için öncü nitelikte bir sistem sunmaktadır.