Veri madenciliği temelli siber tehdit istihbaratı
Data mining based cyber threat intelligence
Yazar: SÜLEYMAN MUHAMMED ARIKAN
Danışman: DR. ÖĞR. ÜYESİ SAMİ ACAR
Gazi Üniversitesi / Bilişim Enstitüsü / Adli Bilişim Ana Bilim Dalı
Derece: Yüksek Lisans, 2019
Konu: Bilim ve Teknoloji = Science and Technology ; Mühendislik Bilimleri = Engineering Sciences

Özet:
Günümüzde siber ortam, her türlü bilgi ve hizmete kolaylıkla erişim için altyapı sağlayarak tartışmasız şekilde insan yaşamının ayrılmaz bir parçası haline gelmiştir. Böylesi önemli bir platformun güvenliği politik, askeri ve stratejik açıdan önem arz etmektedir. Gerek kamu kurumları gerekse özel şirketler siber güvenliği sağlamak için adımlar atmaktadır. Atılan adımların başarıya ulaşmasında siber tehdit istihbaratı büyük öneme sahiptir. Analizler sonucunda açığa çıkarılan siber tehdit istihbaratı saldırgan ve amacı hakkında bilgiler içerir. Ancak, siber tehdit istihbaratı oluşturmak oldukça zahmetli bir iştir. Bu çalışmada veri madenciliği ile siber tehdit istihbaratının üretilmesini kolaylaştıracak bir sistem önerilerek tasarımı yapılmış ve uygulması geliştirilmiştir. Önerilen sistem ile kaydedilmiş trafik kayıtları veya canlı trafik kayıtları öğrenilmiş saldırı tiplerine göre sınıflandırılarak siber tehdit istihbaratı yaygın bir standart olan STIX formatında üretilmektedir. Sistem, bilinmeyen saldırıların uzman görüşü ile tanımlanmasına olanak sağlayarak öğrenme kümesini yeni saldırı tipleri ile güncelleyebilmektedir. Çalışmada öncelikle, saldırı tiplerinin öğrenilebilmesi için kullanılması muhtemel çeşitli veri kümeleri incelenmiştir. Kullanılan veri madenciliği algoritmalarının başarımını karşılaştırabilmek amacıyla genel kabul görmüş KDD CUP 99 ve %10 KDD CUP 99 veri kümeleri tercih edilmiştir. İlgili veri kümelerinin birçok dezavantajı bulunduğundan dolayı NSL-KDD veri kümesi, siber tehdit istihbaratı üretmek için ihtiyaç duyulan saldırı tiplerini öğrenmek için kullanılmıştır. Trafik kayıtlarını sınıflandırmak için veri madenciliği tekniği olarak karar ağacı algoritmalarından CART ve ID3 kullanılmıştır. %10 KDD CUP 99 ve NSL-KDD veri kümeleri üzerinde ilgili algoritmalar için tabakalı 10 katlamalı çapraz doğrulama yapılarak literatürde yer alan çalışmalar ile kıyaslanmıştır. Tabakalı 10 katlamalı çapraz doğrulama için %10 KDD CUP 99 veri kümesi üzerinde sırası ile CART ve ID3 algoritmaları için başarımlar %99,9 ile %99,4 olarak gözlemlenirken NSL-KDD veri kümesi üzerinde ise sırası ile CART ve ID3 algoritmaları için başarımlar %98,8 ile %96,2 olarak ölçülmüştür. Buna ek olarak benzer adımların veri madenciliğinde güvenilirliğini kanıtlamış Weka aracı üzerinde gerçekleştirilmesi ile elde edilen başarımların önerilen sistemin başarımlarına olan benzerliği gösterilmiştir. Önerilen sistemin uygulaması için örnek bir çalışma olarak 24 saat boyunca internete açık çalıştırılan bir sunucu üzerinde bal küpü sistemleri ile saldırganların dikkati çekilerek ilgili trafik kayıtları kaydedilmiş ve kayıtlar üzerinden siber tehdit istihbaratı oluşturulmuştur. Önerilen sistemin siber tehdit istihbaratı üretmek için başarılı bir şekilde kolaylıkla kullanılabileceği gösterilmiş ve internet ortamına açılacak olan sunucular için kullanılabilecek siber tehdit istihbaratı üretilmiştir.

Abstract:
Nowadays, cyber environment has become an integral part of human life by providing the infrastructure for easy access to all kinds of information and services. Security of such an important platform is of political, military and strategic importance. Both public institutions and private companies are taking steps to ensure cyber security. Cyber threat intelligence has a great importance for success of the steps taken. The cyber threat intelligence revealed by the analyzes contains information about attacker and his/her purpose. However, creating cyber threat intelligence is very demanding task. In this study, a system that will facilitate the creating cyber-threat intelligence with data mining is proposed, designed and its application developed. With the proposed system, saved or live traffic records can be classified according to learned attack types and the cyber threat intelligence can be produced in STIX format which is a common standard. The system is able to update training set with new attack types by allowing unknown attacks to be identified by expert opinion. First of all, various datasets which are likely to be used to learn the types of attack are examined. In order to compare performance of data mining algorithms, KDD CUP 99 and 10% KDD CUP 99, which are generally accepted datasets, were preferred. Since these datasets have many drawbacks, NSL-KDD dataset is used to learn the types of attacks needed to generate cyber threat intelligence. In order to classify traffic records, CART and ID3 from decision tree algorithms were used as data mining techniques. 10% KDD CUP 99 and NSL-KDD were compared to studies in literature by using stratified 10-fold cross validation for the algorithms on the datasets. For stratified 10-fold cross-validation, accuracy of CART and ID3 algorithms on the 10% KDD CUP 99 dataset was 99.91% and 99.4%, respectively. On the NSL-KDD dataset, accuracy of CART and ID3 algorithms was 98,76% and 96.18%, respectively. In addition, similarity of accuracy by performing similar steps in Weka tool, which has proven its reliability in data mining, to the accuracy of the proposed system was demonstrated. As a sample work for application of proposed system, a server was run for 24 hour with honeypot system which is for drawing attention of attackers. Then, server traffic were recorded and this records is used for generating cyber threat intelligence. It has been shown that the proposed system can be easily used successfully to generate cyber threat intelligence and cyber threat intelligence has been produced for servers that will be opened to the internet.