1. GİRİŞ

Yapay zekâ (AI) ve makine öğrenmesi (ML) siber güvenlik alanında son yıllarda devrim yaratan araçlar hâline geldi. Artan saldırı hacmi, sofistike saldırı vektörleri ve dağıtık altyapıların karmaşıklığı, geleneksel kurallara dayalı siber güvenlik yaklaşımlarını yetersiz bırakıyor. Bu bağlamda AI, tehditleri daha hızlı tespit etme, yanlış alarmları azaltma, saldırı zincirini otomatik olarak izleme ve müdahale etme gibi kritik yetenekler kazandırıyor.

Bu teknoloji neden bugün konuşuluyor?

• Günlük log ve telemetri hacmi insan analistlerin ölçeğini aşıyor; otomasyon gerekli.
• Adversary davranışları daha sofistike: polymorphic malware, supply‑chain attacks, ransomware gelişiyor.
• Regülasyonlar ve uyumluluk gereksinimleri (GDPR, KVKK, PCI DSS) olay yönetimi ve kanıt izlenebilirliğini zorunlu kılıyor.

Kimler için önemli?

• Siber güvenlik mühendisleri ve SOC analistleri
• MLOps ve güvenlik veri mühendisleri
• CTO, CISO ve risk yöneticileri
• Geliştiriciler — güvenli kodlama ve runtime güvenlik için

Hangi problemleri çözüyor?

• Tehditlerin erken tespiti ve saldırı zincirlerinin hızlı kesilmesi
• False positive sayısını azaltarak analist verimliliğini artırma
• Sıfır gün (0‑day) ve bilinmeyen saldırılara karşı davranışsal tespitte iyileşme
• Olay müdahale süreçlerinin otomasyonu ve hızlandırılması

2. KAVRAMSAL TEMELLER

2.1 Temel tanımlar

• SOC (Security Operations Center): Güvenlik olaylarının izlendiği ve müdahale edildiği operasyonel merkez.
• SIEM (Security Information and Event Management): Log toplama, korelasyon ve arama sağlayan platform.
• SOAR (Security Orchestration, Automation and Response): Güvenlik süreçlerini otomatikleştiren ve playbook çalıştıran sistemler.
• NIDS/NIPS: Network Intrusion Detection/Prevention System — ağ trafiğini izleyip kötü amaçlı aktiviteleri tespit eder/engeller.
• EDR (Endpoint Detection and Response): Uç nokta tabanlı telemetri ile süreç ve dosya davranışlarını izleyen sistemler.

2.2 Terminoloji: ML tarafı

• Supervised / Unsupervised / Semi‑supervised: Etiketlenmiş veriye dayalı öğrenme, kümeleme gibi etiket gerektirmeyen yöntemler ve bunların kombinasyonları.
• Anomaly detection: Normal davranış profiline uymayan gözlemleri tespit etme.
• Behavioral analytics: Kullanıcı, süreç veya host davranışlarının modellenmesi.
• Adversarial ML: ML modellerine yönelik saldırılar (poisoning, evasion, model extraction) ve bunlara karşı savunmalar.

2.3 Bileşenler

AI‑destekli siber güvenlik çözümü genellikle şu bileşenlerden oluşur:

1. Telemetri Katmanı: Loglar, network flow'lar (NetFlow), host telemetry (OS, process), cloud audit log'ları ve uygulama logları.
2. Feature Engineering: Ham telemetriden olay‑özgü fea­ture'lar çıkarılması (session length, byte counts, process tree features).
3. Model Katmanı: Anomaly detectors, classification modeller, clustering, sequence modelleri (HMM, LSTM, Transformer).
4. Enrichment: Threat intelligence, IOC (indicator of compromise) feed'leri, vulnerability metadata ile model çıktılarının zenginleştirilmesi.
5. Orchestration / Playbook: SOAR ile otomatik veya yarı‑otomatik müdahale adımları.

3. NASIL ÇALIŞIR?

3.1 Sistem mimarisi

AI in Cybersecurity çözümleri tipik olarak gerçek zamanlı (streaming) ve toplu (batch) iş akışlarını birleştirir. Geniş bir telemetri katmanı veriyi toplayıp normalize eder; bu veri hem anlık kararlar (real‑time scoring) hem de offline model eğitimi için kullanılır. Özet mimari:

1. Collectors / Agents → Telemetry ingestion (syslog, agents, cloud API)
2. Stream processing → real‑time feature extraction (kafka, flume, stream engines)
3. Real‑time models → anomaly scoring, rule enrichment
4. SIEM/SOAR entegrasyonu → alert, case creation, automated playbooks
5. Offline store & MLOps → training datasets, labeling, retraining schedules

3.2 Veri akışı ve özellik mühendisliği

Güvenlik verisinin doğası heterojendir: text logs, binary artifacts, network packets ve user events. Başarılı bir ML tabanlı tespit için paylaşılan adımlar:

• Normalizasyon ve timestamp harmonizasyonu
• Sessionization — bağlantı veya kullanıcı oturumlarına gruplama
• Aggregation — time window içinde istatistiksel özetler (counts, rates, percentiles)
• Sequence features — komut dizileri, process lineage ve API call sıraları
• Embedding'ler — log/alert metinleri için sentence embedding, executables için behavior embedding

3.3 Modeller ve algoritmalar

Siber güvenlikte sık kullanılan bazı ML yaklaşımları:

• Isolation Forest / One‑Class SVM: Çok değişkenli anomaly detection için.
• Autoencoders: Normal davranışı reconstruct edip reconstruction error ile anomalileri tespit etme.
• Sequence modeller (LSTM, Transformer): Komut veya ağ akışı gibi ardışık verileri modellemek için.
• Graph-based models: Host‑process‑network topolojilerini graph yapısında modelleyip GNN ile anormallik tespiti.
• Ensemble yaklaşımlar: Rule‑based + ML scoring + threat intelligence fusion ile yüksek doğruluk.

3.4 Gerçek zamanlı tespit ve otomatik yanıt

Real‑time scoring ile model bir event aldığında anlık bir risk skoru üretir. Bu skor:

• SOAR tarafından önceliklendirilir ve vaka (case) oluşturulur
• Eğer belirlenen eşik aşılırsa otomatik izolasyon, process kill veya network block playbook'ları tetiklenebilir
• İnsan analist için context snapshot (evidence, enriched logs, relevan IOC'ler) oluşturulur

4. GERÇEK DÜNYA KULLANIMLARI

Netflix

İçerik dağıtım ve global altyapıya sahip büyük platformlar, servis anormalliklerini, kimlik ele geçirme girişimlerini ve abonelik suiistimallerini ML ile tespit eder. Davranışsal analiz (ör. sıra dışı IP ve device fingerprint kombinasyonları) ile müşteri güvenliği ve servis bütünlüğü korunur.

Uber

Gerçek zamanlı operasyonlarda fraud detection ve payment abuse tespiti için davranışsal modeller kullanılır. Ayrıca sürücü/hesap takeover saldırılarını otomatik tespit eden sistemler, anormallik skorlarına göre parolayı reset veya MFA tetikleri oluşturur.

Amazon

Amazon, hem müşteri tarafında fraudulent davranışları hem de seller tarafında tedarik zinciri saldırılarını ML ile tespit eder. Marketplace verisi ve transaction modelleri, anomaly detection araçlarıyla entegre çalışır.

OpenAI

Model ve API güvenliği için OpenAI benzeri sağlayıcılar; anormal API kullanımı, token exfiltration ve model abuse pattern'lerini ML ile tespit eder; rate limiting, usage gating ve content filters uygular.

Stripe

Ödeme şirketleri davranışsal bazlı fraud detection, device fingerprinting ve transaction scoring için ML kullanan örnek liderlerden biridir. Risk skorları gerçek zamanlı reddetme veya manuel incelemeye yönlendirme kararlarıyla bağlanır.

5. AVANTAJLAR VE SINIRLAMALAR

Avantajlar

• Erken tespit: Anomali tabanlı yöntemler bilinmeyen tehditleri yakalayabilir.
• Scale: İnsan analistlerin yapamayacağı hacimde telemetriyi işleyebilir.
• Önceliklendirme: Risk skorları ile insani kaynakların verimli kullanımı sağlanır.
• Otomasyon: Uygun playbook'larla olay müdahalesi hızlandırılır.

Sınırlamalar

• Veri kalitesi ve etiketleme: Güvenlik verisi düzensiz, gürültülü ve dengesizdir; etiketleme maliyetlidir.
• Adversarial riskler: Modeller saldırıya açık olabilir (poisoning, evasion) ve bu riskler yönetilmelidir.
• False negative riskleri: Overfitting veya zayıf generalizasyon durumunda saldırılar atlanabilir.
• Maliyet: Gerçek zamanlı telemetri işleme, depolama ve model eğitimi maliyetlidir.

6. ALTERNATİFLER VE KARŞILAŞTIRMA

7. EN İYİ PRATİKLER

Production kullanımı

• Pipeline tasarımı: ingestion → real‑time feature → scoring → enrichment → SOAR entegrasyonu şeklinde net akış kurun.
• Labeling & feedback: Analist onayı ile model sonuçlarını etiketleyip sürekli iyileştirin.
• Canary & shadow testing: Yeni modelleri önce shadow modda çalıştırıp operasyonel etkilerini ölçün.

Performans optimizasyonu

• Feature store ve precomputed aggregation ile real‑time latency'yi düşürün.
• Model quantization ve lightweight modeller ile scoring hızını artırın.

Güvenlik

• Adversarial testler: poisoning ve evasion senaryoları ile modellerinizi düzenli test edin.
• Model access control: eğitim verisi ve modeller için erişim kısıtları ve audit log gereklidir.

Ölçeklenebilirlik

• Stream processing (kafka, kinesis) ve autoscaling ile telemetri hacmine hazırlıklı olun.
• Varyant modellere (fast/accurate) göre routing yaparak gecikme‑doğruluk dengesini yönetin.

8. SIK YAPILAN HATALAR

• Veriyi yeterince normalize etmeden modele vermek — zaman damgaları, timezone ve missing value sorunları.
• Tek seferlik model eğitimi — üretimde performans düşerse retrain schedule yok.
• Yalnızca algoritmaya odaklanıp veri governance'ı ihmal etmek.
• Adversarial riskleri test etmemek — modeller üretimde manipüle edilebilir.

9. GELECEK TRENDLER

1. Foundation models for security: Büyük ön‑eğitimli modellerin (LLM, multimodal) güvenlik bağlamına uyarlanması — tezahür: attack summarization, incident triage ve automated playbook generation.
2. Self‑supervised security representations: Label maliyetini azaltan, telemetri için ön eğitim yöntemleri.
3. Federated security learning: Kurumlar arası IOC paylaşmadan model eğitimi; gizliliği koruyan federated learning uygulamaları.
4. Explainable & auditable AI: Regülasyonlar nedeniyle model kararlarının izlenebilir ve açıklanabilir olması zorunlu hale gelecek.
5. Adversarial‑aware pipelines: Modeller için sürekli adversarial test ve hardening süreçleri standartlaşacak.

EK BÖLÜMLER

Sık Sorulan Sorular (FAQ)

1. AI siber güvenlikte hangi alanlarda en etkili?

   Tehdit tespiti, anomali detection, fraud detection, SIEM korelasyonu, otomatik triage ve SOAR tabanlı otomatik müdahale alanlarında büyük fayda sağlar.

2. Veri yetersizse ML tabanlı güvenlik uygulanabilir mi?

   Yarı‑gözetimli, transfer learning ve self‑supervised yaklaşımlar ile sınırlı etiketli veriyle de fayda sağlanabilir; ayrıca domain knowledge ile rule‑based desteklenmelidir.

3. Modeller adversarial saldırılara karşı nasıl korunur?

   Adversarial training, data validation, input sanitization, model monitoring ve ensemble yöntemleri ile dayanıklılık artırılabilir.

4. AI sistemi yanlış alarm üretiyorsa ne yapılmalı?

   Root cause analysis ile özellikleri inceleyin, threshold tuning, feedback loop ve ensemble yöntemlerle false positive azaltın.

5. Hangi open source araçlar işe yarar?

   Elastic SIEM, Apache Metron, OpenDXL, MISP (threat intel sharing), Suricata (NIDS), Zeek ve ML için scikit‑learn, PyTorch, TensorFlow kullanılabilir.

6. Model yönetimi nasıl yapılmalı?

   MLOps pratikleri: versiyonlama, retrain schedule, model registry, validation pipelines ve drift monitoring gereklidir.

7. Yasal ve etik açıdan nelere dikkat edilmeli?

   Veri gizliliği, kullanıcı onayı, adil kullanım ve gerektiğinde denetlenebilirlik; otomatik kararların insan tarafından denetlenmesi gerekebilir.

8. AI tüm güvenlik sorunlarını çözer mi?

   Hayır. AI güçlü bir araçtır ama güvenlik stratejisinin sadece bir parçasıdır. Önleyici kontroller, eğitim, politikalar ve insan uzmanlığı hâlâ gereklidir.

Anahtar Kavramlar

Anomaly Detection

Normal davranıştan sapmaları otomatik tespit etme tekniği.

SOAR

Güvenlik otomasyonu ve playbook'larla operasyonel müdahaleyi yöneten sistem.

Adversarial ML

ML modellerine yönelik saldırı yöntemleri ve savunma teknikleri.

Feature Engineering

Ham telemetri verisinden model için anlamlı özniteliklerin çıkarılması.

Threat Intelligence

IOC'ler, saldırı taktikleri ve istihbarat feed'leri ile detection'ı zenginleştirme.

Öğrenme Yol Haritası

1. Temel Siber Güvenlik: Networking, OS, log formatları, saldırı vektörleri ve güvenlik mimarileri.
2. Machine Learning Temelleri: Supervised/unsupervised learning, model evaluation, overfitting, cross‑validation.
3. Security‑specific ML: Anomaly detection, sequence modeling, graph based learning, feature engineering for security.
4. MLOps ve Production: Model deployment, monitoring, retraining, model governance ve explainability.
5. Adversarial ML: Poisoning, evasion, defenses, red‑teaming ML models.
6. Projeler: SIEM verisi ile PoC, EDR dataset üzerinde anomaly detection ve SOAR playbook entegrasyonu kurun.