Dış saldırıların belirlenmesi için makine öğrenimi yaklaşımı

İlk bilgisayarlar kendi başlarına çalışan bilgisayarlardı ve dış dünyaya bağlantıları yoktu. Bu nedenle güvenlik ile ilgili bir sorunları yoktu. Zaman içinde bilgisayarlar ağları, İnternet ve telsiz ağlar bilgi ve bilgisayar güvenliği için tehlikeli tehdit olmaya başladılar. Özellikle İnternet bilgi ve bilgisayar güvenliğinde önemli açıkların doğmasına neden olmuştur. Bunun başlıca nedeni, İnternet'in kapalı bir ağ yapısının (ARPANET) herkese açık biçimde uygulanmaya konmasıdır. Bilgisayar sistemlerine yapılan saldırılar genel olarak iki sınıfa ayrılmaktadır: İç saldırılar ve dış saldırılar. Bu tez kapsamında dış saldırıların belirlenmesi üzerinde çalışılmıştır. Bilgisayarlara ilk saldırı 1971'de Creeper virüsü ile yapılmıştır. 1985'li yıllarda bireysel bilgisayarların yaygınlaşmaya başlamasıyla, bu bilgisayarlara yönelik saldırılar görülmeye başlamıştır. 1991 yılında geliştirilen Michelangelo virüsünün amacı DOS işletim sistemini bozmaktı. Daha sonra üretilen Melissa (1999) I Love You (2000) çok yayılmış ve etkili olmuş saldırı örnekleridir. Saldırılar yalnızca sunucu ve bireysel bilgisayarlara yönelik olmamakta, sistemlere karşı da yapılmaktadır. Örneğin İran'ın nükleer çalışmalarını engellemek amacıyla üretilen Stuxnet SCADA sistemine ciddi hasarlar vermiştir (2010). USB bağlantısı üzerinden SCADA sistemine bulaştırılan virüs sistemin bütün kaynaklarını ele geçirmiş ve alarm sistemlerini devre dışı bıraktırmıştır. İşletmenler durumdan haberdar olmadıkları için ne olup bittiğini anlayamamış sonuç olarak tesiste ciddi zararlar oluşmuştur. 2013 yılında ortaya çıkan Cryptolocker virüsü sunucularda tutulan dosyaları şifreleyerek kullanımını engellemiştir. Engelin kalkması gereken anahtar daha sonra para karşılığı veriliyordu. Rus savaş uçağının düşürülmesine misilleme olarak Türk kurum ve kuruluşlarını hizmet veremez duruma sokmak için yapılan saldırılar yakın zamanda görülmüştür. Bilgi sistemlerine zarar vermeye yönelik olan bu programlardan korunmak için harcanan paranın 2014 verilerine göre 25 Milyar ABD Doları ve bu yazılımların verdiği zararın 491 Milyar ABD Doları olduğu göz önüne alındığında bilgi sistemlerine yapılan dış saldırıların ne denli önemli bir konu olduğu açıktır. Dış saldırılar amaçları açısından sınıflandırıldığında; 1) Sisteme zarar vermek, 2) Sistemin çalışmasını engellemek ve 3) Menfaat sağlamak olarak sınıflandırılabilirler. İran SCADA sistemine yapılan saldırı birinci sınıfa girmektedir. Türk kurum ve kuruluşlarına karşı yapılan DDos saldırıları ikinci sınıfa girmektedir. Üçüncü sınıfa giren saldırılar için çok sayıda örnek verilebilir. Bunların içinde bankalara yönelik saldırılar, müşteri hesaplarından para çalmak en yaygın görülenlerdir. Bu tez çalışmasının kapsamı dışarıdan gelebilecek tehdit ve olası saldırıların incelenmesi ve ortaya çıkarılmasıdır. Bu hedefe ulaşmak üzere öncelikle dış saldırılar incelenmiş ve bunların verebileceği zararlar nitelik ve nicelik açısından değerlendirilmiştir. İkinci aşamada, dış saldırıların nasıl belirlenebileceği üzerinde durulmuştur. Tehdit ve saldırıların belirlenmesi amacıyla geliştirilmiş yöntem ve algoritmalar incelenmiştir. Üçüncü aşamada, dış saldırılara ilişkin veri kümesi oluşturulmaya çalışılmıştır. Dış saldırılara ilişkin olarak önce PaySim mobile Money simulator veri kümesi üzerinde çalışılmıştır. Ardından NSL-KDD veri kümesi üzerinde çalışılmıştır. Ancak bu iki veri kümesi yeterli görülmemiştir ve Canadian Institute for Sybersecurity'nin hazırladığı veri kümesine geçilmiştir. Her üç veri kümesi üzerinde altı algoritma denenmiştir. Bu algoritmalar, K-Nearest Neighbor (KNN), Random Forest (RF), Adaboost, Logistic Regression (LR), Multinominial Naive Bayes (MNB), Stochastic Gradient Discent (SGD). Denemelerimizin sonucunda RF algoritmasının en başarılı sonucu verdiği görülmüştür. Karşılaştırmalar doğruluk ve F1 ölçüsü hesaplanarak yapılmıştır. Aynı veri kümesi için doğruluk değerleri söz konusu yöntemler için 100 üzerinden RF: 100, AdaBoost: 99,99, KNN: 99,97, LR: 98,1, MNB: 96,79 ve SGD: 96,87 olarak bulunmuştur. F1 ölçüsüne değerleri ise 100 üzerinden şöyle bulunmuştur: RF: 99,97, AdaBoost: 99,85, KNN: 99,64, LR: 62,35, MNB: 49,03 ve SGD: 32,80. En iyi algoritmanın belirlenmesinin ardından, algoritmanın daha hızlı çalışmasını sağlamak amacıyla özellik seçimine geçilmiş. Veri kümesinde 79 olan özellikler 14'e indirilmiştir. Seçilen özellikler şunlardır: • Hedef adresi - Destination Port, • İlk_Pencere_byte_ileri_- Init_Win_bytes_forward, • İlk_Pencere_byte_geri_- Init_Win_bytes_ backward • Akış IAT Enk - Flow IAT Min, • İleri IAT Enk - Fwd IAT Min, • Geri IAT Enk - Bwd IAT Min, • Ortalama Paket Boyu - Average Packet Size, • Geri Paket Uzunluğu Std - Bwd Packet Length Std, • İleri Paket Uzunluğu Std - Fwd Packet Length Std, • Paket Uzunluğu Std - Packet Length Std, • Toplam Geri Paketler - Total Backward Packets, • Toplam Geri Paketlerin Uzunluğu - Total Length of Bwd Packets, • İleri_Enk Seg_Boyu - Min_seg_size_forward, • Etiket - Label Bu işlemlerin sonunda seçilmiş özelliklere kullanılarak, değişik algoritmaların başarımları bulunmuş ve sonuçlar diğer araştırmacıların bulduğu değerler ile karşılaştırılmıştır. Karşılaştırmalar sırasında her yöntem için Bulma, Tutturma ve F1 ölçüsü hesaplanmıştır. Değerler yüzde cinsinden verilmiştir: Diğer Araştırmacıların Sonuçları DAS ve Tez Çalışmasının Sonuçları TÇS olarak kısaltılmıştır: Tutturma - DAS: KNN: 96, RF: 98, AdaBoost: 77, NB: 88, MLP: 77 ve ID3: 98 TÇS : KNN: 99,9, RF: 99, AdaBoost: 99,9, LR: 95,8, MNB: 66,9 ve SGD: 96,8 Bulma - DAS: KNN: 96, RF: 97, AdaBoost: 84, NB: 04, MLP: 83 ve ID3: 98 TÇS : KNN: 99, RF: 99,4, AdaBoost: 97, LR: 97, MNB: 66,8 ve SGD: 89 F1 ölçüsü- DAS: KNN: 96, RF: 97, AdaBoost: 77, NB: 04, MLP: 76 ve ID3: 98 TÇS : KNN: 99,6, RF: 99,9, AdaBoost: 99,8, LR: 62,3, MNB: 49 ve SGD: 32,8 Sonuç olarak, bu tez çalışmasında elde edilen sonuçların, diğer araştırmacılar tarafından yapılan çalışmalara oranla daha başarılı olduğu gösterilmiştir.