2013’te Target, veri ihlalini önce müşterilerinden öğrendi. Güvenlik ekiplerinin sahip olduğu araçlar tehdidi tespit etmişti — ama uyarılar binlerce diğer uyarıyla birlikte göz ardı edildi. Sorun, sinyalin gürültüden ayrılamamasıydı. Bu, kural tabanlı anomali tespitinin yapısal kısıtıdır: her yeni tehdit vektörü için bir kural yazmak gerekir ve kural sayısı arttıkça yanlış pozitif oranı da artar. Makine öğrenmesi tabanlı anomali tespiti farklı bir soruyu yanıtlamaya çalışıyor: “Normal nedir?” ve “Bu, normalden ne kadar sapıyor?”
Anomali Tespitinin Üç Temel Yaklaşımı
İstatistiksel yöntemler: Z-score, IQR (çeyrekler arası aralık) ve zaman serisi ayrışımı (decomposition) en basit katmandır. Bir kullanıcı hesabı sabah 9-17 arası ortalama 50 API çağrısı yapıyorsa ve gece 2’de 4.000 çağrı görülüyorsa, bu 40 standart sapma uzaklığındadır. Kural yazmaya gerek yok; istatistik söylüyor. Ama karmaşık, çok boyutlu veriler için bu yöntemler yetersiz kalır.
Kümeleme tabanlı yöntemler: DBSCAN ve Isolation Forest, yoğun bölgelerin dışında kalan noktaları anomali olarak işaretler. Isolation Forest özellikle yüksek boyutlu verilerde güçlü. Çalışma mantığı: normal örnekleri izole etmek çok sayıda bölme gerektirir; anomaliler ise az sayıda bölmeyle izole edilir. Scikit-learn’de tek satırla kullanılabilir ve eğitim süresiz tahmin için ayrı bir etiketli veri gerektirmez.
Derin öğrenme yaklaşımları: Otoenkodörler (autoencoders) ve LSTM tabanlı modeller, normali sıkıştırılmış bir gösterimde öğrenir. Yeniden oluşturma hatası (reconstruction error) yüksekse veri anomali olarak işaretlenir. Bu yöntem özellikle ağ trafiği ve sistem günlüklerindeki gizli örüntüleri yakalamada başarılı.
Ağ Güvenliğinde Makine Öğrenmesi: Somut Kullanım
Darktrace, ağ trafiğini denetimsiz öğrenmeyle modelliyor. Başlangıçta 2-4 haftalık gözlem periyodunda şirketin “DNA’sını” öğreniyor: hangi cihazlar hangi saatlerde hangi hedeflere ne kadar trafik gönderiyor? Bu temel oluşturulduktan sonra sapmalar puanlanıyor. Dil kısıtlaması olan bir sunucunun aniden Doğu Avrupa’ya bağlanmaya çalışması, kural olmadan tespit edilebilir çünkü bu davranış öğrenilmiş normalin dışında.
Benzer mantığı kendiniz uygulamak istiyorsanız, Zeek (eski adıyla Bro) ile ağ oturumlarını yakalayın, özellik mühendisliği yapın (oturum süresi, bayt sayısı, port numarası, gün içindeki saat), ardından Isolation Forest veya Local Outlier Factor ile anormallikleri puanlayın. Bu pipeline açık kaynak araçlarla tamamen kurulabilir.
Kullanıcı Davranışı Analizi (UEBA)
Hesap ele geçirme saldırılarının tespitinde davranışsal biyometri ve UEBA etkili. Splunk UEBA, bir kullanıcının hangi uygulamalara ne sıklıkta eriştiğini, hangi sorgular çalıştırdığını ve ne kadar veri indirdiğini baseline olarak öğrenir. Bir kullanıcı hesabından büyük hacimde veri indirimi + mesai dışı erişim + alışılmamış coğrafi konum üst üste gelirse risk skoru yüksek çıkar ve otomatik uyarı tetikler.
Yanlış pozitif oranını düşürmek için bu sistemlerde genellikle peer group analizi kullanılır: bir kullanıcı kendi ekibindeki benzer rol sahiplerine göre değerlendirilir. Finans analistinin büyük Excel dosyaları indirmesi normaldir; aynı davranış bir IT destek hesabından gelirse skoru farklı hesaplanır.
Zaman Serisi Anomali Tespiti: Üretim Sistemleri İçin
Sunucu metrikleri, API gecikme süreleri ve hata oranları gibi zaman serilerinde mevsimsellik ve trend, anomaliyi maskeleyebilir. Pazartesi sabahları trafik doğal olarak yüksektir; onu geçen hafta Pazartesi sabahıyla karşılaştırmazsanız yanlış uyarı üretirsiniz. Facebook’un Prophet kütüphanesi, mevsimselliği ve tatil etkilerini modelleyerek artık serileri (residuals) hesaplar — anomali bu artıklar üzerinden tespit edilir.
Daha sade bir alternatif STL ayrışımı (Seasonal-Trend decomposition using LOESS) + ARIMA + standart sapma eşiği. Grafana’nın anomaly detection panel özelliği bu mantığı görsel olarak sunar ve Prometheus metriklerine doğrudan bağlanır.
Modeli Değerlendirmenin Zorluğu
Anomali tespit modellerini değerlendirmek, sınıflandırma modellerinden daha zor. Precision-recall eğrisi kullanılabilir ama etiketli anomali verisi çoğunlukla yetersiz. Bu nedenle iki pratik yol izlenir: geçmişteki bilinen olayları (dokümanlanmış ihlaller, sistem arızaları) test seti olarak kullanmak; veya simüle edilmiş anomaliler üretip modelin bunları tespit edip edemediğini ölçmek.
Üretimde en önemli metrik “uyarı yorgunluğu”dur: analisten günde kaç uyarı değerlendirmesi bekleniyor? 20’nin üzerine çıkan ortamlarda analistler otomatik olarak uyarıları görmezden gelmeye başlar — ve bu, en iyi modeli bile işlevsiz kılar. Eşikleri ayarlarken hedef, yüksek precision (az yanlış pozitif), kabul edilebilir recall dengesi kurulması olmalıdır. Sıfır yanlış pozitif mümkün değil; ama yönetilebilir bir seviyeye çekilebilir.
Kısa Bir Hatırlatma
Makine öğrenmesi tabanlı anomali tespiti, kural tabanlı sistemlerin yerini almaz; onları tamamlar. Bilinen saldırı imzaları ve compliance gereksinimleri için kurallar hâlâ gerekli. ML modelleri ise bilinmeyen tehditleri ve davranışsal sapmaları yakalamak için değer üretir. Bu iki katmanı birlikte işleten güvenlik operasyonları, her birini tek başına kullananlardan çok daha geniş bir görünürlüğe sahip olur.
