Makine öğrenme yöntemleri kullanılarak saldırı tespiti
Intrusion detection using machine learning methods
Yazar: FIRAT KILINÇ
Danışman: DOÇ. DR. CAN EYÜPOĞLU
Milli Savunma Üniversitesi / Atatürk Stratejik Araştırmalar ve Lisansüstü Eğitim Enstitüsü / Bilgisayar Mühendisliği Ana Bilim Dalı / Siber Güvenlik Bilim Dalı
Derece: Yüksek Lisans, 2023
Konu: Bilgisayar Mühendisliği Bilimleri-Bilgisayar ve Kontrol = Computer Engineering and Computer Science and Control
Dizin: Bilgisayar ağları güvenliği = Computer networks security ; Makine öğrenmesi = Machine learning ; Siber güvenlik = Cyber security ; Siber saldırı = Cyber attack

Özet:
Çağımızda bilgi teknolojileri hızla gelişirken mobil ve nesnelerin interneti (Internet of Things-IoT) cihazlarının yaygınlaşması ile birlikte siber saldırganlar da her geçen gün yeni saldırı yöntemleri geliştirmektedir. Bu nedenle siber saldırılar kullanıcılarda büyük endişe yaratmaktadır ve bu endişelerin de giderek artacağı öngörülmektedir. Bu süreçte saldırı tespit sistemleri (Intrusion Detection System-IDS) ve saldırı önleme sistemleri (Intrusion Prevention System-IPS) önemli bir rol almaktadır. Bu tez çalışmasında ilk olarak ağ güvenlik duvarları, ağ saldırıları ve ağ ortamında gerçekleşen saldırı türlerine yer verilmiştir. Sonrasında ağ saldırı türleri için örnek senaryolar oluşturulmuş ve bu senaryolar üzerinde saldırıların nasıl gerçekleştirildiği şekillerle açıklanmıştır. Bu tez çalışmasında Kanada İletişim Güvenliği Kuruluşu (Canada Communications Security Establishment-CSE) ve Kanada Siber Güvenlik Enstitüsü (Canadian Institute for Cybersecurity-CIC) tarafından yaratılan CIC-IDS2017 veri setinde yer alan saldırı türlerine yer verilmiştir. Bu saldırı türleri saldırganlar tarafından yaygın olarak kullanılan hizmet reddi saldırısı (Denial of Service Attack-DoS), dağıtık hizmet reddi saldırısı (Distrubuted Denial of Service-DDoS), botnet, kaba kuvvet, port tarama, web uygulama ve sızma saldırılarıdır. Tez kapsamında saldırı tespiti için CIC-IDS2017 veri setinde yer alan Çarşamba günü gerçekleştirilen DoS atakları verileri kullanılmıştır. Saldırı tespiti yapılırken orijinal veri setinin kullanımına, temel bileşen analizine (Principal Component Analysis-PCA) ve özellik seçimine dayalı olmak üzere üç farklı metot kullanılmıştır. Veri bölme yaklaşımı olarak %80 eğitim-%20 test yüzdelik bölme oranı, 5-kat ve 10-kat çapraz doğrulama tekniklerinden yararlanılmıştır. Saldırıların sınıflandırılması için Naive Bayes, destek vektör makinesi (Support Vector Machine-SVM), lojistik regresyon, k-en yakın komşu (k-Nearest Neighbors-KNN), karar ağacı (J48), AdaBoost, rastgele orman ve bagging yöntemleri kullanılmıştır. Deneysel sonuçlar, OneR özellik seçimi ve rastgele orman sınıflandırıcıya dayalı metodun %99,96 doğruluk oranı ile en iyi sonucu verdiğini göstermektedir.

Abstract:
While information technologies are developing rapidly in our age, with the spread of mobile and Internet of Things (IoT) devices, cyber attackers are developing new attack methods day by day. For this reason, cyber attacks cause great concern for users and it is predicted that these concerns will increase gradually. In this process, intrusion detection systems (Intrusion Detection System-IDS) and intrusion prevention systems (Intrusion Prevention System-IPS) play an important role. In this thesis, first of all, network firewalls, network attacks and attack types in the network environment are given. Afterwards, sample scenarios for network attack types were created and how the attacks were carried out on these scenarios was explained with figures. In this thesis, the attack types in the CIC-IDS2017 dataset created by the Canadian Communications Security Establishment (CSE) and the Canadian Institute for Cybersecurity-CIC are included. These attack types are Denial of Service Attack (DoS), Distributed Denial of Service (DDoS), botnet, brute force, port scanning, web application and penetration attacks, which are commonly used by attackers. Within the scope of the thesis, the data of DoS attacks carried out on Wednesday in the CIC-IDS2017 data set were used for attack detection. While detecting the attack, three different methods were used, based on the use of the original data set, principal component analysis (PCA) and feature selection. As a data splitting approach, 80% training-20% test percentage splitting, 5-fold and 10-fold cross-validation techniques were used. Naive Bayes, support vector machine (SVM), logistic regression, k-nearest neighbor (KNN), decision tree (J48), AdaBoost, random forest and bagging methods are used for classification of attacks. Experimental results show that the method based on OneR feature selection and random forest classifier gives the best results with 99.96% accuracy.