XSS saldırılarının tespiti için web uygulama güvenlik duvarı (WAF) ve makine öğrenme teknikleri kullanan hibrit bir yaklaşım
A hybrid approach using web application firewall (WAF) and machine learning techniques to detect XSS attacks
Yazar: İDRİS OLCAY
Danışman: DR. ÖĞR. ÜYESİ ESRA NERGİS YOLAÇAN
Eskişehir Osmangazi Üniversitesi / Fen Bilimleri Enstitüsü / Bilgisayar Mühendisliği Ana Bilim Dalı / Bilgisayar Yazılımı Bilim Dalı
Derece: Yüksek Lisans, 2023
Konu: Bilgisayar Mühendisliği Bilimleri-Bilgisayar ve Kontrol = Computer Engineering and Computer Science and Control
Dizin: Hibrit yöntem = Hybrid method ; Makine öğrenmesi = Machine learning ; Siber güvenlik = Cyber security ; Veri yükü = Payload

Özet:
Teknolojinin ilerlemesine bağlı olarak internet altyapısı ve internetin sunduğu hizmetler her geçen gün artmaktadır. Bu hizmetlere erişim için kullanıcılar bir web uygulamasına ihtiyaç duymaktadırlar. Web uygulamalarının bir ucunda kullanıcılar, diğer ucunda altyapı hizmetlerini sağlayan firmalar yer almaktadır. Firmalar web saldırılarını engellemek için ağ katmanında IDS/IPS gibi araçlara, uygulama katmanında ise WAF'a gereksinim duymaktadırlar. Bu araçlar etkin olarak kullanılmasına rağmen web saldırıları, çeşitlerinin fazla olmasından dolayı günümüzün tehlikeli siber tehditleri arasında gösterilmektedir. Özellikle enjeksiyon (injection) saldırıları, güncel OWASP verilerine göre en tehlikeli saldırı türüdür. En çok karşılaşılan enjeksiyon saldırılarından biri ise XSS saldırılarıdır. Bu çalışmada XSS saldırılarının tespit edilmesinde karşılaşılan problemler, araçlar ve yöntemler detaylı bir şekilde araştırılmış ve yeni bir tespit yaklaşımı önerilmiştir. Bu kapsamda, XSS saldırıları dikkate alınarak yeni bir veri seti oluşturulmuştur. Öncelikle, bu veri setinde yer alan zararlı/zararsız XSS yükleri (payload), güvenlik zafiyeti olan bir web uygulaması aracılığıyla WAF'a gönderilmiştir. Ancak, kurallarının tetiklendiği en yüksek paranoya seviyesinde WAF'ın birçok legal isteği engelleyerek FP ürettiği gözlemlenmiştir. WAF, olası saldırılara karşı web isteklerini olabildiğince katı kurallı bir şekilde yorumlamaktadır. Yapılan legal web istekleri, böyle bir durumda saldırı olarak değerlendirilip hatalı bir şekilde engellenebilmektedir. Bu çalışmada, FP'leri azaltmak için başarılı olduğu gözlemlenen makine öğrenmesi yöntemleri ile WAF desteklenerek hibrit bir yaklaşım önerilmiştir. Sunulan yaklaşımla elde edilen sonuçlar; doğruluk, kesinlik, duyarlılık, özgüllük ve F1-skoru metrikleri ile değerlendirilmiştir. Elde edilen bulgulara göre, önerilen hibrit yaklaşımın, XSS ataklarının doğru tespit edilmesi noktasında performansı artırdığı ve FP oranının düşürülmesinde etkili olduğu görülmüştür.

Abstract:
Depending on the advancement of technology, the internet infrastructure and the services offered by the internet are increasing day by day. Users need a web application to access these services. There are users at one end of web applications and companies that provide infrastructure services at the other end. Companies need tools such as IDS/IPS at the network layer and WAF at the application layer to prevent web attacks. Although these tools are used effectively, web attacks are among the dangerous cyber threats of today due to their wide variety. In particular, injection attacks are the most dangerous attack type according to current OWASP data. One of the most common injection attacks is XSS attacks. In this study, the problems, tools and methods encountered in detecting XSS attacks are investigated in detail and a new detection approach is proposed. In this context, a new data set was created considering XSS attacks. First of all, the malicious/benign XSS payloads in this dataset were sent to WAF via a security-vulnerable web application. However, it has been observed that at the highest level of paranoia where its rules are triggered, WAF produces FPs by blocking many legal requests. WAF interprets web requests as strictly as possible against possible attacks. In such a case, legal web requests can be considered as an attack and blocked incorrectly. In this study, a hybrid approach is proposed to reduce FPs by supporting WAF with machine learning methods that have been observed to be successful. The results obtained with the presented approach; accuracy, precision, recall, specificity, and F1-score metrics were evaluated. According to the findings, it was seen that the proposed hybrid approach increased the performance at the point of correct detection of XSS attacks and was effective in reducing the FP rate.