Makine öğrenmesi tabanlı kullanıcı davranış analizi ile bilgisayar sistemlerine giriş kayıtlarında anomali tespiti
Anomaly detection in computer system login records with machine learning based user behaviour analysis
Yazar: ERHAN YILMAZ
Danışman: DOÇ. DR. URAL GÖKAY ÇİÇEKLİ
Ege Üniversitesi / Sosyal Bilimler Enstitüsü / İşletme Ana Bilim Dalı
Derece: Yüksek Lisans, 2022
Konu: İşletme = Business Administration
Dizin: Algoritmalar = Algorithms ; Anomaliler = Anomalies ; Bilgisayar sistemleri = Computer systems ; Davranışsal uygulama = Behavioral implementation ; Güvenlik = Security ; Kullanıcı davranışları = User behaviors ; Makine öğrenmesi = Machine learning ; Siber güvenlik = Cyber security ; İşletmeler = Businesses

Özet:
İşletmelerdeki siber güvenlik açıklarının ve veri sızıntılarının büyük bir bölümüne iç aktörler sebep olmaktadır. Kötü niyetli veya ihmalkâr kullanıcıların sebep olduğu güvenlik açıkları, işletmeler için hem maddi hem de itibari kayıp olarak sonuçlanmaktadır. İşletmelerdeki iç aktörlerin sebep oldukları güvenlik açıklarının ve veri ihlallerinin aylarca veya yıllarca fark edilememesi, çözüm bulunmasını da geciktirmektedir. İşletmelerde bulunan siber güvenlik ekipleri, kullanıcıların işlemlerini bağlandıkları cihazların kayıtları ve bazı güvenlik yazılımları aracılığı ile sabit koruma politikaları ile izlemekte ve yanıt vermektedir. İşletmelerin iç tehditlere karşı kullandıkları sabit güvenlik politikaları zaman içinde daha az etkili hale gelmektedir. Kullanıcı davranış analizi, işletmelerdeki kötü niyetli veya parolası başkaları tarafından ele geçirilmiş kullanıcıların saptanmasında büyük önem arz etmektedir. Makine öğrenmesi algoritmaları aracılığıyla kullanıcı davranışlarının izlenmesi, kullanıcıların normal ve şüpheli davranışlarını tespit edilebilir. Makine öğrenmesi algoritmaları sayesinde işletmelerde sabit güvenlik politikaları yerine zaman içinde değişikliklere uyum sağlayan, saldırılara karşı daha hızlı ve doğru şekilde yanıt verebilen sistemler geliştirilebilir. Yapılan çalışmada, kullanıcı davranış analizi ve anomali tespiti için bir işletmedeki yetkilendirilmiş erişim yönetimi uygulaması üzerinden iki aylık süreçte elde edilen oturum kayıtları kullanılmıştır. Anomali tespit edilmesinde kullanılabilecek k-en yakın komşuluk küresel anomali tespiti (k-NN), yerel aykırılık tespiti (LOF), bağlantı tabanlı aykırı değer faktörü (COF), yerel aykırı değer olasılığı (LoOP), etkilenen aykırılık (INFLO), küme tabanlı yerel aykırı değer faktörü (CBLOF) ve yerel yoğunluk kümesi tabanlı aykırı değer faktörü (LDCOF) algoritmalarının gösterdikleri performans karşılaştırılmıştır. Elde edilen bulgular değerlendirilmiş, sonraki çalışmalar için öneri ve tavsiyelerde bulunulmuştur.

Abstract:
The majority of cyber security vulnerabilities and data leaks in enterprises are caused by internal actors. Security vulnerabilities caused by malicious or negligent users result in both financial and reputational losses for enterprises. The fact that security vulnerabilities and data breaches caused by internal actors in enterprises takes months or years to detect and cause delays finding a solution. Cyber security teams in enterprises monitor and respond to users' actions with fixed security policies, through the records of the devices they connect to and some security software. Enterprises' fixed security procedures for dealing with internal threats become less effective over time. User behavior analysis is of great importance in detecting malicious users or users whose passwords have been compromised by others. Monitoring user behavior through machine learning algorithms, normal and suspicious behavior of users can be detected.Instead of predefined security policies, machine learning algorithms can be used to create systems that adapt to changes over time and respond to threats more quickly and precisely. In the study, session data obtained in a two-month period from the privileged access management software in a enterprise were used for user behavior analysis and anomaly detection. K-nearest neighbor global anomaly detection (k-NN), local outlier detection (LOF), link-based outlier factor (COF), local outlier probability (LoOP), affected outlier (INFLO), cluster-based performance of local outlier factor (CBLOF) and local density cluster based outlier factor (LDCOF) algorithms are compared. The findings were evaluated and suggestions and recommendations for future research were provided.