Endüstriyel kontrol sistemlerinin CVSS tabanlı siber güvenlik zafiyet kategorisinin tahmini için bulanık lojistik regresyon model önerisi
A fuzzy logistic regression model proposal for predicting CVSS severity category of industrial control systems
Yazar: AHMET MURAT DERE
Danışman: PROF. DR. MEHMET KABAK
Gazi Üniversitesi / Fen Bilimleri Enstitüsü / Endüstri Mühendisliği Ana Bilim Dalı
Derece: Doktora, 2023
Konu: Endüstri ve Endüstri Mühendisliği = Industrial and Industrial Engineering

Özet:
Siber güvenlik, bilgisayarların günlük yaşamda ve iş hayatında artan kullanımı nedeniyle hızla önem kazanmaktadır. Benzer şekilde, sanayi sektörü de endüstriyel kontrol sistemleri (EKS) ile bütünleşen, dijital bir dönüşüm olan Endüstri 4.0 ile birlikte siber tehditlere karşı daha savunmasız hale gelmiştir. Günümüzde kuruluşlar, EKS'lerin siber güvenliği için bütüncül tedbirlere yönelik kapasite geliştirmeyi amaçlamaktadır. Bu maksatla, kuruluşlar kendi sistemlerinde mevcut EKS'lerin siber güvenlik zafiyetlerinin belirlenmesi, izlenmesi, değerlendirilmesi, önem derecelerine göre sıralanması için çoğunlukla CVSS'yi (Ortak Güvenlik Açığı Puanlama Sistemi) kullanmaktadırlar. CVSS, bilgi sistemlerindeki siber güvenlik zafiyetlerinin önem kategorilerini veya puanlarını uzman görüşüne dayalı hesaplayan bir değerlendirme sistemidir. CVSS, sayısal değerler yerine dilsel ifadelerle değer bulan kategorik değişkenleri kullanmaktadır. Veri toplama işlemi dilsel terimlerle uzman görüşüne dayalı olarak yapıldığında, insan düşüncesinden kaynaklanan ve parametrik rassallıkla açıklanamayacak bir belirsizlik doğal olarak ortaya çıkmaktadır. Normal şartlarda verilerdeki rassallık istatistiksel modeller tarafından kolayca ele alınabilir, ancak insanın ölçülemeyen ve tam olarak sınırları bilinmeyen düşünce yapısından kaynaklanan belirsizliğin sistematik olarak ele alınması için bulanık modellerin kullanılması uygundur. İlave olarak klasik modeller için temel istatistiksel varsayımlar geçerli olmadığından, girdi ve çıktı arasındaki karmaşık ve doğrusal olmayan ilişki en iyi bulanık mantık ile açıklanabilmektedir. Bu nedenle, EKS'lerin önem kategorisini tahmin etmek için CVSS'ye dayalı EKS zafiyet verilerine bulanık lojistik regresyon (BLR) uygulaması önerilmiştir. Ayrıca, giriş değişkenlerini temsil eden bulanık sayıların yayılımlarını metasezgisel algoritmalarla en iyileyerek modelin uyum iyiliği de iyileştirilmiştir. Bu çalışmanın, Endüstri mühendisliği için yeni ufuklar açan Endüstri 4.0'ın önemli bir bileşeni olan EKS'lerin siber güvenlik zafiyet verilerinin analizine yönelik metasezgisel algoritmalarla entegre bir BLR modeli önerisi ile literatüre uygulama bağlamında özgün bir katkı sağladığı değerlendirilmektedir.

Abstract:
Cybersecurity is rapidly gaining importance due to the increasing use of computers in daily life and business life. Similarly, the industrial sector has become more vulnerable to cyber threats with Industry 4.0, a digital transformation integrated with industrial control systems (ICS). Today, organizations aim to build capacity for comprehensive measures for the cybersecurity of ICS. For this purpose, organizations often use CVSS (Common Vulnerability Scoring System) to identify, monitor, evaluate and rank the cybersecurity vulnerabilities of ICS present in their systems according to their severity. CVSS is an evaluation system that calculates the importance categories or scores of cybersecurity vulnerabilities in information systems based on expert opinion.  CVSS uses categorical variables that takes on value through linguistic/verbal expressions instead of numerical values. When data collection is done based on expert opinion in linguistic terms, an uncertainty arising from human thought, that cannot be explained by parametric randomness, naturally arises. Under normal circumstances, randomness in data can be easily handled by statistical models, but it is appropriate to use fuzzy models to systematically address the uncertainty caused by human immeasurable and unknown thinking. Since basic statistical assumptions do not apply to classical models, the complex and nonlinear relationship between input and output can best be explained by fuzzy logic. Therefore, fuzzy logistic regression (FLR) application was proposed to analyse CVSS-based EKS vulnerability data and estimate the importance category of ICS. In addition, the goodness of fit is improved by optimizing the spread of fuzzy numbers representing input variables with metaheuristic algorithms. This study contributes to the literature in the context of application with the proposed BLR model integrated with metaheuristic algorithms to analyze cybersecurity vulnerability data of ICS, an important component of Industry 4.0 that opens new horizons for industrial engineering.