Siber tehdit istihbarati içeren heterojen bilgi ağlarinin üretimi ve zenginleştirilmesi
Production and enrichment of heterogeneous information networks containing cyber threat intelligence
Yazar: BURAK GÜLBAY
Danışman: DOÇ. DR. MEHMET DEMİRCİ
Gazi Üniversitesi / Fen Bilimleri Enstitüsü / Bilgi Güvenliği Mühendisliği Ana Bilim Dalı
Derece: Doktora, 2024
Konu: Bilgisayar Mühendisliği Bilimleri-Bilgisayar ve Kontrol = Computer Engineering and Computer Science and Control
Dizin: Açık kaynak istihbaratı = Open source intelligence ; Siber istihbarat = Cyber intelligence

Özet:
Siber uzayda kişiler, şirketler, kurumlar ve devletler dijital varlıklarını saklamakta, işlemekte ve değer üretmek için hizmetler sunmaktadır. En değerli varlıklarımız artık fiziksel varlıklarımızdan çok sahip olduğumuz veri ve bilgi haline gelmiştir. Bilginin değeri, kullanıcısına sayladığı faydadan kaynaklanmaktadır. Günümüzde dijital dönüşümle birlikte, bankacılık, seçim, sınav, enerji, sağlık ve savunma gibi hayatımızı doğrudan etkileyen sistemler gerçek dünyanın karmaşıklığından soyutlanarak bilişim sistemlerine taşınmıştır. Bu sistemler siber uzaydaki bağımsız ve devlet destekli tehdit aktörleri için hedef haline gelmiştir. Savunma tarafındaki yöntemler geliştikçe, saldırı tarafında da gelişmiş ve karmaşık yöntemler ortaya çıkmaktadır. Saldırganlar ve eylemleri henüz bilişim sistemlerine temas etmeden, onlar hakkında bilgi sahibi olmak ve önlem almak güncel siber güvenlik disiplininin önemli bir parçasıdır. Bu tez çalışmasında gelişmiş kalıcı tehdit (APT) aktörlerinin arkalarında bıraktığı izler sürülerek, haklarında yazılan APT analiz raporları ve İnternetteki açık kaynak istihbarat (OSINT) kaynakları ile zenginleştirilerek siber tehdit istihbaratı (STİ) üretilmiş ve sistematik bir şekilde heretojen bilgi ağına (HBA) dönüştürülmesi sağlanmıştır. Önerilen çok katmanlı çerçeve model implemente edilerek 734 analiz raporu, 484.249 düğüm ve 675.696 ilişki üzerinde çalışılmıştır. Savunma tarafındaki kişilerin düşünce dünyası, güvenlik ürünleri, araçları, kurallar ve alarmlar tablolar halinde tasarlanmakta ve yönetilmektedir. Öte yandan saldırganların zihin haritaları çizgelere dayanmaktadır. HBA'ların, saldırganları ve saldırıları anlamak için en iyi yöntem olduğu değerlendirilmektedir. Tez çalışmasında toplanan operasyonel, taktik ve teknik STİ, HBA'ya gönüştürülmüş ve bir tahminleme modeli geliştirilerek ağ üzerinde tahminler yapılmıştır. Geliştirilen tahminleme modelinin doğruluk-duyarlılık eğrisi altındaki alan (AUCPR) ölçümlerinde eğitim skoru %96,36 ve test skoru %97,88 elde edilmiştir. APT grupları arasında takma ad ilişkileri ve faili meçhul saldırıların olası aktörleri tahmin edilmiştir. Önerilen çok aşamalı çerçeve modelin başarısını göstermek için uygulanan aşamalar detaylarıyla sunulmuş ve uygulanarak deney sonuçları paylaşılmıştır.

Abstract:
In cyberspace, individuals, companies, institutions, and governments store and process their digital assets, and provide services to create value. Our most valuable assets have now become our data and information, rather than physical assets. The value of information comes from the benefit it provides to its consumer. Today, with digital transformation, systems that directly affect our lives, such as banking, elections, exams, energy, health, and defense, have been transferred to information systems, abstracting from the complexity of the real world. These systems have become targets for independent and state-sponsored threat actors in cyberspace. As defensive methods evolve, so do advanced and complex attack techniques. Obtaining information about attackers and their actions before they even touch information systems, and taking precautions, is a crucial part of modern cybersecurity discipline. In this thesis, cyber threat intelligence (CTI) was produced by tracking the traces left by advanced persistent threat (APT) actors, enriching it with APT analysis reports written about them and open-source intelligence (OSINT) sources from the Internet, and systematically converting it into a heterogeneous information network (HIN). The proposed multi-layered framework model was implemented and worked on 734 analysis reports, 484,249 nodes, and 675,696 relationships. The thought processes of defense-side individuals, security products, tools, rules, and alarms are designed and managed in tabular form. On the other hand, the mental maps of attackers are based on graphs. It is considered that HINs are the best method for understanding attackers and their attacks. In this thesis, operational, tactical, and technical CTI collected was converted into HIN, and a prediction model was developed to make predictions over the network. In the precision-recall curve under the area (AUCPR) measurements of the developed prediction model, a training score of 96.36% and a test score of 97.88% were obtained. Alias relationships among APT groups and the likely actors of unsolved attacks were predicted. The stages implemented to demonstrate the success of the proposed multi-stage framework model are presented in detail, and the experimental results are shared.