Makine öğrenmesi yöntemleri ile siber güvenlik değerlendirmesi: Ağ trafik analizi ve zararlı yazılım algılama
Cyber security assessment with machine learning methods: Network traffic analysis and malware detection
Yazar: ALİ HAYDAR ESER
Danışman: PROF. DR. ZAFER ASLAN
İstanbul Aydın Üniversitesi / Lisansüstü Eğitim Enstitüsü / Bilgisayar Mühendisliği Ana Bilim Dalı / Bilgisayar Mühendisliği Bilim Dalı
Derece: Doktora, 2021
Konu: Bilgisayar Mühendisliği Bilimleri-Bilgisayar ve Kontrol = Computer Engineering and Computer Science and Control

Özet:
Günümüzde bilgiye olan ihtiyacımızın ve bağımlılığımızın artması, bilginin değerinin de artmasına sebep olmakta ve eş zamanlı olarak bilgi varlıklarımıza yönelik siber saldırıları da artırmaktadır. Bu siber saldırıların büyük bir kısmı bilgisayar ağları üzerinden sistemlerimize ulaşıp zararlar vermektedir. Bu saldırılar, kurum ve kişilerin itibarlarını ve finansal varlıklarını tehdit etmesinin yanı sıra, hastane, baraj, nükleer santraller gibi insan yaşamını ilgilendiren birçok tesis için de büyük bir tehdit oluşturmaktadır. Bu tehditlerin başında, zararlı yazılım bulaşmış ve uzaktan kontrol edilen bilgisayar grupları olan botnetler gelmektedir. Botnetlerin sahip oldukları değişme ve gizlenme yetenekleri sayesinde geçmişte olduğu gibi gelecekte de en önemli siber tehditler arasında yer almaya devam etmesi beklenmektedir.
Botnetlerin algılanmasında ağ trafiğini incelemek yerine ağ akış bilgilerinden yararlanılması, şifreli ağ trafiğini açılması için gerekli olan yüksek bilgisayar gücü gereksinimi ve ağ trafiğinde karşımıza çıkan kişisel verilerin işlenmesindeki yasal sorunlar dahil olmak üzere birçok zorluğun aşılmasına yardımcı olmaktadır. Bu tez çalışmasında, zararlı yazılım bulaşması sonucu botnet ağına dahil olmuş bilgisayarların ağ akış trafiğini botnet veya normal olarak sınıflandırabilen, TCP, UDP ve ICMP için protokole özgü uyarlanabilen veya genel olarak tüm protokolleri birlikte ele alabilen, sınıflandırma için düşük hesaplama gücü gerektiren, eğitim süresi kısa, aşırı öğrenmeye karşı dirençli sınıflandırma modelleri oluşturulmuş ve bu modellerin tahmin başarıları ile eğitim süreleri karşılaştırılmıştır. Önerilen modellerin botnet bulaşmış bilgisayarları yüksek doğruluk ve verimlilikle tespit edebildiği gösterilmiştir. En iyi performası Random Forest algoritması sadece 3 özellik kullanarak, TCP ve UDP protokolünde %95'in üzerinde, ICMP protololünde %99'un üzerinde doğrulık skoru ile göstermiştir. Optimum öngörücü sayıları baz alınarak yapılan kıyaslamada, rastgele orman algoritmasının eğitim süresinin KNN algoritmasından yaklaşık 4 kat, LightGBM algoritmasından ise yaklaşık 2 kat daha düşük olduğu görülmüştür.

Abstract:
Today, the increase in our need and dependence on information causes an increase in the value of information and simultaneously increases the cyber-attacks against our information assets. Most of these cyber-attacks reach our systems over computer networks and cause damage. In addition to threatening the reputation and financial assets of individuals and institutions, such attacks also pose a great threat to many facilities that concern human life such as hospitals, dams and nuclear power plants. Among these threats, botnets, which are groups of computers infected by malwares and controlled remotely, are of particular importance. Thanks to their ability to evolve and hide, it is expected that botnets will continue to be among the most important cyber threats in the future, as in the past.
Instead of examining the network traffic, the use of network flow information in the detection of botnets helps to overcome many difficulties by eliminating the requirement of high computational power to open the encrypted network traffic, and the legal problems related to the processing of personal data that is encountered within the decrypted network traffic. In this thesis, a novel classification model, which uses the network flow information, is developed to classify the network traffic as botnet or normal. It is intended to have short training times, resistance to overfitting problem, robustness and overall computational efficiency. The proposed model can be applied in a protocol specific manner for TCP, UDP and ICMP protocols or can be applied as a general model to assess all protocols at once. It has been shown that the proposed model can detect botnet-infected computers with high accuracy and efficiency. Using only 3 flow features, random forest algorithm demonstrated the best performance with an accuracy score of over 95% in TCP and UDP protocols, over 99% in ICMP protocol and over 96% in the general model.  In the comparison based on the optimum number of estimators, it was seen that the training time of the random forest algorithm was approximately 4 times lower than that of the KNN algorithm and approximately 2 times lower than that of the LightGBM algorithm.