Dönüştürücü destekli özellik öğrenimi ve sentetik veri üretimi ile APT tespitini ilerletmek

Neden Gizli Siber Saldırılar Önemlidir

Modern kuruluşlar, web taramadan kritik devlet hizmetlerine kadar sürekli etkinlikle dolup taşan bilgisayar ağlarına dayanır. Ancak bu dijital gürültünün içinde en tehlikeli siber tehditlerden bazıları saklanır: ileri süreğen tehditler (APT'ler). Uzun süreli ve gizli yürütülen bu saldırılar genellikle yüksek beceriye sahip gruplar tarafından desteklenir ve aylarca sistemlere sessizce yerleşebilir. Makale, ET‑SDG adını taşıyan yeni bir yöntemi tanıtıyor; bu yöntem yapay zekâda son gelişmeleri kullanarak geniş ağ trafiği akışlarını eleyip gerçekten şüpheli davranışın neye benzediğini öğreniyor ve nadir fakat ciddi APT etkinliklerini önceki araçlara göre daha güvenilir biçimde tespit ediyor.

Dijital Samanlıkta İğne Bulma Zorluğu

APT kampanyaları günlük kötü amaçlı yazılımlardan farklıdır; çünkü yavaş, uyarlanabilir ve dikkatle hedeflenmişlerdir. Bilinmeyen yazılım açıklarını istismar etmek veya iletişimlerini normal görünen trafik içine gizlemek gibi yöntemler kullanırlar. Geleneksel saldırı tespit sistemleri sabit kurallara veya bilinen imzalara dayanır; bu yüzden yeni veya değiştirilmiş saldırılar gözden kaçabilir. Son araştırmalar, ağ "akışlarındaki" — kim kiminle konuştu, ne kadar süreyle ve ne kadar veri alışverişi yapıldığı özetleri — ince örüntüleri yakalamak için makine öğrenimine yöneliyor. Ancak iki sorun sürüyor: bu akışlardaki örüntüler karmaşık, ve gerçek dünya verileri büyük ölçüde dengesiz; doğrulanmış APT saldırılarından çok daha fazla normal trafik var. Bu dengesizlik, yapay zekâ sistemlerinin normal davranışı mükemmel tanırken en önemli nadir olayları sessizce göz ardı etmesine yol açabilir.

Ağ Akışlarını Okumanın Daha Akıllı Bir Yolu

ET‑SDG çerçevesi, karmaşık trafiği anlama sorununu aşmak için işi aşamalara böler. Her ağ akışı için onlarca sayısal tanımlayıcıyla başlar. ExtraTrees olarak bilinen bir yöntem hızlı, kaba bir değerlendirici gibi davranır: çok sayıda olası karar ağacını karşılaştırarak hangi özelliklerin saldırı trafiğini normal trafikten ayırmada daha faydalı olduğunu belirler ve kalanları eler. Kısaltılmış veri daha sonra bir Dönüştürücüye (Transformer) iletilir; bu aile modern dil araçlarını güçlendirmesiyle tanınır. Burada dönüştürücü bir cümledeki kelimeleri okumak yerine trafik özelliklerini "okur", dikkat mekanizmasını kullanarak bir bağlantının farklı özelliklerinin birbirini nasıl etkilediğini öğrenir. Sonuç, iletişim kuran her makine çifti için çok adımlı APT kampanyalarının davranışını yakalayabilecek kadar zengin, kompakt ve bağlam‑farkında bir parmak izi olur.

Nadir Saldırıların Gerçekçi Örneklerini Oluşturma

İkinci büyük engel, doğrulanmış APT örneklerinin, masalar kadar çok olan zararsız trafiğe kıyasla çok az olmasıdır. Temel aşırı örnekleme tekniklerinde olduğu gibi bu kıt saldırı kayıtlarını basitçe kopyalamak, modeli ezberlemeye öğretme riskini taşır. ET‑SDG bunu Koşullu Üretici Modeliyle (CGMS) ele alır; bu model koşullu üretici‑çekişmeli ağ adı verilen bir sinir ağı türü üzerine kuruludur. Bu üreteç, bilinen APT davranışlarına istatistiksel olarak benzeyen yeni sentetik veri noktaları yaratmayı öğrenirken, başka bir ağ gerçek ve sahteyi ayırt etmeye çalışır. Bunları birlikte eğiterek sistem, yalnızca eğitim verisi sınırları içinde kalarak ek ve çeşitli saldırı trafiği örnekleri üretir ve değerlendirmeyi kirletmekten kaçınır. Ardından dikkat tabanlı bir katman, bu zenginleştirilmiş temsillerin en bilgilendirici parçalarına odaklanır ve son sınıflandırıcı bir IP çiftinin muhtemelen zararsız mı yoksa saldırı altında mı olduğunu belirler.

Gerçek ve Zorlu Veri Setlerinde Test Etme

Bu tasarımın işe yarayıp yaramadığını görmek için yazarlar ET‑SDG'yi gerçek APT kötü amaçlı yazılım yakalamaları ile devlet ağ trafiğinin birleştirildiği bir veri setinde ve sınıf dengesizliğiyle ünlü büyük bir halka açık saldırı tespit ölçütünde değerlendirdiler. Sistemi, akışları zaman serisi gibi işleyen daha basit derin öğrenme modellerinden makinelar arasındaki ilişkileri vurgulayan grafik tabanlı yaklaşımlara kadar çeşitli alternatiflerle karşılaştırdılar. Doğruluk, kesinlik, geri çağırma ve F1‑skoru dahil birden çok ölçütte ET‑SDG, çoğu rakibiyle tutarlı şekilde eşdeğer veya daha iyi performans gösterdi; sıklıkla sonuçları bir ila dört yüzde puanı arasında iyileştirdi. Önemli olan, hem kaçırılan saldırıları hem de yanlış alarmları düşük tutarken bunu başarması ve veriler tekrar tekrar çapraz doğrulamada karıştırıldığında performansının istikrarlı kalmasıydı.

Günlük Güvenlik İçin Anlamı

Bir uzman olmayan için alınacak temel ders, ET‑SDG'nin ağ trafiğini izlemek için daha incelikli bir yol sunduğudur. Önce hangi ayrıntıların önemli olduğunu öğrenip sonra bunları bağlam içinde yorumlayarak ve nadir saldırıların gerçekçi ek örneklerini üreterek sistem, gizli APT davranışını günlük dijital uğultudan ayırmada daha iyi hale gelir. Yöntem eski yaklaşımlardan daha fazla hesaplama gerektirse ve şu ana dek büyük ölçüde çevrimdışı deneylerde test edilmiş olsa da, gelişmiş örüntü tanıma ile dikkatli sentetik veri üretiminin erken uyarı sistemlerini önemli ölçüde güçlendirebileceğini gösteriyor. Pratik anlamda bu, güvenlik ekiplerinin ciddi ihlalleri daha erken fark etmesine, daha yüksek kaliteli uyarılara odaklanmasına ve kritik hizmetleri uzun vadeli ihlallerden daha iyi korumasına yardımcı olabilir.

Atıf: Danh, L.T.K., Xuan, C.D. & Van, N.N. Advancing APT detection through transformer-driven feature learning and synthetic data generation. Sci Rep 16, 11772 (2026). https://doi.org/10.1038/s41598-026-41317-5

Anahtar kelimeler: ileri süreğen tehditler, ağ saldırı tespiti, dönüştürücü modeller, sentetik veri üretimi, siber güvenlik yapay zekâsı