Türkiye'nin siber güvenlik politikalarının yazılım mühendisliği açısından değerlendirilmesi ve kritik altyapıların siber saldırılardan korunmasına yönelik olay yönetim sistemi tasarımı
Evaluation of Türkiye's cyber security policies in terms of software engineering and incident management system design for the protection of critical infrastructures from cyber attacks
Yazar: UĞUR GÜRTÜRK
Danışman: DR. ÖĞR. ÜYESİ GÜLSÜM ZEYNEP GÜRKAŞ AYDIN
İstanbul Üniversitesi-Cerrahpaşa / Lisansüstü Eğitim Enstitüsü / Bilgisayar Mühendisliği Ana Bilim Dalı / Bilgisayar Mühendisliği Bilim Dalı
Derece: Yüksek Lisans, 2022
Konu: Bilgisayar Mühendisliği Bilimleri-Bilgisayar ve Kontrol = Computer Engineering and Computer Science and Control
Dizin: Kritik altyapıların korunması = Critical infrastructure protection ; Log analizi = Log analysis ; Makine öğrenmesi = Machine learning ; Siber güvenlik = Cyber security ; Veri madenciliği = Data mining ; Yazılım mühendisliği = Software engineering

Özet:
Bilgi ve bilgi sistemleri güvenliğinin öneminin hızla gelişen teknoloji ile birlikte artması, alınması gereken tedbirlerin gerekliliğini de en üst düzeye çıkartmıştır. Bilgi güvenliği sistemlerinde kullanılan araçlar çok çeşitli ve güçlü olsa da, gelişen yeni teknolojilerden kaynaklanan yeni güvenlik açıklıklarını bulma noktasında başarılı olamayabilmektedir. Kötücül girişimlerden önce saldırganların nasıl saldırabileceğini tespit etmek ve buna göre
güvenliği sağlamak, alınan tedbirlerin etkisini en yüksek seviyeye çıkaracaktır. Kritik altyapı sistemleri, gelişen teknoloji ile birlikte modern toplumların temelini oluşturmaktadır ve ulusal refahın korunması için önem arz eden yapılardır. Genellikle tarım, su, elektrik şebekesi, ulaşım, iletişim ve teknoloji sistemleri ile çeşitli kamu ve özel sektör yapılarını içeren bu sektörler günlük hayatın devamını sağlamak için son derecede elzemdir. Birbirine bağlı ve bağımlı hale gelen karmaşık sistemler olan bu yapıların sadece bir parçasının arızalanması bile diğer bağımlı sistemlerin arızalanmasına neden olmakta ve arızanın meydana geldiği altyapıyı tümüyle etkileyebilmektedir. Ayrıca, devletlerin güvenliği, ekonomisi ve vatandaşların refahı için tehlikeli sonuçlar meydana gelebilmektedir. Bu nedenler göz önüne alındığında kritik altyapıların güvenliğinin sağlanması siber güvenlik çatısı altında hayati bir rol taşımaktadır ve bu tür altyapıların güvenliği Türkiye'de tam olarak önemli bir siber güvenlik sorunu olarak görülmemektedir. Kritik altyapının korunmasına ilişkin sorunlar, siber güvenlik konusundaki çalışmaların gölgesinde kalmaya devam etmektedir. Son yıllarda bilgi güvenliğine yönelik tehditler, dünyada aktif olarak kullanılan hizmetlere yönelik istismarların ve tehditlerin şirketler için bir kâr modeli haline gelmesi nedeniyle daha hedef odaklı bir hale gelmiştir. Güvenlik Bilgileri ve Olay Yönetimi (SIEM), Güvenlik bilgileri ve olay yönetimi anlamına gelmekte olup ağ ve güvenlik cihazlarından veri toplama ve analiz etme yeteneklerine sahiptir. SIEM, günümüzde birçok siber güvenlik
operasyon merkezinin kullandığı izleme yeteneklerini geliştirmek için çeşitli güvenlik cihazlarından gelen olayları ilişkilendirmek için tüm önemli bilgileri birleştirilmiş bir çerçevede toplamak için kullanılan bir yöntemdir. Bu tez çalışmasında, öncelikle kritik altyapı tanımına ve detaylarına yer verilmiş; bu yapıların korunmasına yönelik öncelikle Türkiye'de önlem alınması aşamasında bir farkındalık oluşturmak amaçlanmıştır. Daha sonra ülkelerin siber güvenlik politikaları ilişkisel bir yapıda verilmiş; gerçekleştirilen çalışmalar ve politikalar birçok kapsamda değerlendirilmiştir. Türkiye'nin siber güvenlik alanındaki politikaları incelenerek, bu anlamda geliştirilen çalışmalara ve hukuksal çalışmalarına yer verilmiştir. Ayrıca bir bütün olarak da değerlendirilebilen kritik altyapı-SIEM ilişkisi ve teknolojik gelişmelerin bir zorunluluğu sonucu olarak yazılım mühendisliği kavramı ele alınmış; ulusal ve uluslararası anlamda yazılım mühendisliği hakkında bilgiler verilmiştir. Kritik altyapı, siber güvenlik politikaları ve SIEM'i içeren güncel çalışmalara da kapsamlı bir şekilde yer verilmiştir. Tez çalışmasının uygulama bölümünde ise gerçek hayattaki modern normal senaryoların yanı sıra ağ trafiğinden elde edilen verilerden ve çeşitli saldırı aktivitelerinden oluşan "UNSW_NB15" veri seti kullanılarak uygulama geliştirilmiştir. Çalışmalar ile "Analysis, Backdoor, DoS, Exploits, Fuzzers, Generic, Reconnaissance, Shellcode ve Worms" olmak üzere dokuz tür saldırı türü ve "Normal" aktivitelerden oluşan kategori ile toplamda 10 farklı kategoriye ait analiz gerçekleştirilmiştir. Çalışma temel yapı olarak ikiye ayrılmaktadır. İlk adım Google Colabratory üzerinde gerçekleştirilmiş olup daha sonra ise Weka'da bir takım deneysel çalışmalar gerçekleştirilmiştir. Google Colabratory uygulamasında LR, XT, SVM, RF ve DT yöntemleri ile sınıflandırmalar gerçekleştirilmiştir. Google Colabratory ile geliştirilen uygulamada Rastgele Orman Sınıflandırıcısı (Random Forest-RF)'nda %98,62, Karar Ağaçları (Decision Tree-DT)'nda %99,10, Lojistik Regresyon (Logistic Regression-LR)'da 98,87, Ekstra Ağaçlar (Extra Trees-XT)'da %95,13 ve Destek Vektör Makineleri (Support Vector Machines-SVM)'nde %99,12 başarı elde edilmiştir. Daha sonra Weka'da yapılan çalışmalar ve deneyler sonucunda RF'de %92,05, DT'de %100, KNN'de %100, J48'de %100, NB'de %99,19 ve BayesNet'de %99,35 başarı elde edilmiştir.

Abstract:
The increase in the importance of information and information systems security with the rapidly developing technology has also brought the necessity of the measures to be taken to the highest level. Although the tools used in information security systems are very diverse and powerful, they may not be successful in finding new security vulnerabilities arising from developing new technologies. Identifying how attackers can attack before malicious attempts and providing security accordingly will maximize the effectiveness of the measures taken. Critical infrastructure systems, together with developing technology, form the basis of modern societies and are important structures for the protection of national welfare. These sectors, which generally include agriculture, water, electricity grid, transportation, communication and technology systems and various public and private sector structures, are extremely essential to ensure the continuation of daily life. Even the failure of only a part of these structures, which are complex systems that are interconnected and dependent, causes the failure of other dependent systems and can affect the entire infrastructure where the failure occurred. In addition, dangerous consequences may occur for the security of states, the economy and the welfare of citizens. Considering these reasons, ensuring the security of critical infrastructures plays a vital role under the roof of cyber security and the security of such infrastructures is not exactly seen as an important cyber security problem in Türkiye. Problems related to the protection of critical infrastructure continue to be overshadowed by studies on cybersecurity.
In recent years, threats to information security have become more target-oriented, as exploits and threats to services actively used in the world have become a profit model for companies. Security Information and Event Management (SIEM) stands for Security information and event management and has the capabilities to collect and analyze data from network and security devices. SIEM is a method used to gather all important information in a unified framework to correlate events from various security devices to enhance the monitoring capabilities used by many cybersecurity operations centers today. In this thesis, first of all, the definition and details of critical infrastructure are given; It is aimed to raise awareness in the process of taking precautions in Türkiye for the protection of these structures. Then, the cyber security policies of the countries are given in a relational structure; The studies and policies carried out have been evaluated in many contexts. By examining Türkiye's policies in the field of cyber security, studies and legal studies developed in this sense are included. In addition, the critical infrastructure-SIEM relationship, which can
also be evaluated as a whole, and the concept of software engineering as a result of technological developments are discussed; National and international information about software engineering is given. Current studies including critical infrastructure, cyber security policies and SIEM are also covered extensively. In the application part of the thesis, the application was developed using the "UNSW_NB15" dataset, which consists of data obtained from network traffic and various attack activities, as well as real-life modern normal scenarios. With the studies, a total of 10 different categories were analyzed with the category consisting of nine types of attacks, namely "Analysis, Backdoor, DoS, Exploits, Fuzzers, Generic, Reconnaissance, Shellcode and Worms", and "Normal" activities. The study is divided into two as the basic structure. The first step was carried out on Google Colabratory, and then some experimental studies were carried out in Weka. Classifications were made using LR, XT, SVM, RF and DT methods in the Google Colabratory application. In the application developed with Google Colabratory, 98.62% in Random Forest Classifier (Random Forest-RF), 99.10% in Decision Tree-DT, 98.87% in Logistic Regression-LR, 95.13% success was achieved in
Extra Trees (XT) and 99.12% success in Support Vector Machines (SVM). As a result of the studies and experiments carried out in Weka, 92.05% in RF, 100% in DT, 100% in KNN, 100% in J48, 99.19% in NB and 99.35% in BayesNet achievements achieved.