Açıklanabilir Yapay Zekâ ile Makine Öğrenmesi Tabanlı Saldırı Tespit Sistemlerinin Değerlendirilmesi: Şeffaflık ve Yorumlanabilirliğin Artırılması

Çağdaş siber güvenlik mimarilerinde ağ trafiğinin izlenmesi ve yetkisiz erişim girişimlerinin saptanması amacıyla kullanılan makine öğrenmesi tabanlı saldırı tespit sistemleri (IDS), karmaşık veri yapılarındaki örüntüleri öğrenme kabiliyetleriyle öne çıkmaktadır. Bununla birlikte, özellikle derin yapay sınır ağları ve gelişmiş topluluk öğrenmesi modellerinin karar verme süreçlerindeki kapalılık, güvenlik analistlerinin üretilen alarmların gerekçesini anlamasını engellemektedir. Kapalı kutu modellerinin şeffaflıktan yoksun oluşu, alarmların doğrulanmasını zorlaştırırken operasyonel güveni azaltmakta ve yasal uyum süreçlerinde aksamalara neden olmaktadır. Bu araştırma, ağ güvenliğinde yüksek tespit doğruluk oranlarını korurken karar mekanizmalarını insan tarafından anlaşılabilir kılmayı amaçlayan Açıklanabilir Yapay Zekâ (XAI) tekniklerinin sızma tespiti süreçlerine entegrasyonu konusunu ele almaktadır.

Çalışmada metodolojik olarak 2,5 milyondan fazla kayıt ve dokuz farklı saldırı türünü içeren veri seti üzerinde çeşitli makine öğrenmesi modelleri geliştirilmiş ve değerlendirilmiştir. Araştırma kapsamında Karar Ağaçları, Çok Katmanlı Algılayıcı (MLP), XGBoost, Random Forest, CatBoost, Lojistik Regresyon ve Gauss Naive Bayes algoritmaları uygulanmıştır. Model kararlarının hem küresel hem de yerel ölçekte açıklanması amacıyla SHAP, LIME ve ELI5 tekniklerinden yararlanılmıştır. Veri ön işleme aşamasında yinelemeli öznitelik eleme, korelasyon analizi ve Min-Max ölçekleme yapılmış; sınıf dengesizlikleri Sentetik Azınlık Aşırı Örnekleme Tekniği (SMOTE) kullanılarak ele alınmıştır. Modellerin performansı doğruluk, kesinlik, duyarlılık, F1 puanı, ROC-AUC değerleri ile yanlış pozitif ve yanlış negatif oranları üzerinden bütüncül biçimde sınanmıştır.

Deneysel bulgular, CatBoost ve Karar Ağaçları modellerinin %87 doğruluk oranı ve 0,07 yanlış pozitif oranı ile en yüksek genel başarımı sergilediğini göstermektedir. XGBoost modeli %86,87 doğruluk ve 0,11 yanlış negatif oranı ile yüksek hassasiyet sunarken, Çok Katmanlı Algılayıcı %85,98 doğruluk elde etmiş, Gauss Naive Bayes ise %73 doğruluk seviyesinde kalmıştır. XAI analizleri, Kaynaktan Hedefe Yaşam Süresi (sttl) ve Hedef Servis Sayısı (ct_srv_dst) özniteliklerinin kötü niyetli trafiği tespit etmede son derece kritik göstergeler olduğunu ortaya koymuştur. SHAP ve LIME görselleştirmeleri, zaman sınırlaması değerlerindeki sapmaların ve port erişim sıklıklarının modellerin kararını doğrudan saldırı yönünde etkilediğini somutlaştırarak analistlere anlaşılır çıkarımlar sağlamıştır.

Elde edilen sonuçlar, siber güvenlik literatüründe uzun süredir var olan tespit başarımı ile açıklanabilirlik arasındaki çelişkinin XAI yöntemleriyle aşılabileceğini kanıtlamaktadır. Araştırma, karmaşık algoritmaların yüksek doğruluk potansiyelini korurken güvenlik analistlerinin kararlara duyduğu güveni artıran yöntemsel bir köprü kurmaktadır. Bu doğrultuda çalışma, siber savunma alanında literatür taraması yapan ve şeffaf tespit sistemleri tasarlayan araştırmacılar için temel bir referans oluşturmaktadır. Gelecek araştırmalar için metodolojinin daha karmaşık nesnelerin interneti ve bulut altyapısı veri kümelerine uygulanması ve gerçek zamanlı tespit ortamlarında düşük işlem maliyetli açıklanabilirlik modüllerinin geliştirilmesi önerilmektedir.

Çalışmanın deneysel bulguları, özellikle CatBoost ve Karar Ağaçları modellerinin %87 doğruluk oranına ve 0.07 gibi son derece düşük bir yanlış alarm oranına (FPR) ulaştığını göstermektedir. Bu yüksek doğruluk başarımı, ağ yöneticilerinin gereksiz alarmlarla vakit kaybetmesini önleyerek operasyonel verimliliği artırma potansiyeline sahiptir.

Yazarlar, elde edilen bu yüksek başarımı sadece karmaşık matematiksel modellere değil, aynı zamanda ağ trafiğindeki paket özelliklerinin (özellikle sttl özniteliğinin) saldırganların manipülasyon davranışlarını yansıtma gücüne bağlamaktadır. Sistemlerin şeffaf olmaması, geçmişte bu tür kritik parametrelerin derinlemesine analiz edilmesini engellemekteydi.

Literatürde yer alan klasik 'kara kutu' yaklaşımlı derin öğrenme modellerine kıyasla, bu araştırmada sunulan XAI entegrasyonu doğruluktan ödün vermeden açıklanabilirlik sunmaktadır. Wang (2023) veya Arreche (2024) gibi güncel çalışmaların da işaret ettiği üzere, siber güvenlikte şeffaflık yasal uyumluluk ve insan-yapay zeka iş birliği için kaçınılmaz bir gereksinim haline gelmiştir.

Sonuç olarak bu çalışma, siber güvenlik uzmanlarının sadece alarmları izlemekle kalmayıp, o alarmın hangi ağ özniteliğinden (örneğin kaynak-hedef yaşam süresi) kaynaklandığını yerel ve küresel düzeyde görmelerini sağlamaktadır. Gelecek çalışmaların, bu yaklaşımı daha dinamik IoT ve bulut bilişim ortamlarında test etmesi önerilmektedir.

Wang ve diğerleri (2024) tarafından önerilen hibrid topluluk modeline kıyasla, bu çalışma XGBoost, CatBoost ve MLP gibi spesifik makine öğrenmesi algoritmalarını SHAP, LIME ve ELI5 yöntemleriyle entegre ederek hem küresel hem de yerel düzeyde daha ayrıntılı açıklanabilirlik sunmaktadır (Mohale & Obagbuwa, 2025).

Arreche ve diğerleri (2024) ağ saldırı tespiti için uçtan uca bir XAI çerçevesi sunarken, bu çalışma belirli makine öğrenmesi modelleri üzerinde öznitelik seviyesinde doğrudan uygulanabilir ve karar süreçlerini şeffaflaştıran spesifik kanıtlar (sttl ve ct_dst_sport_ltm gibi) sağlamaktadır (Mohale & Obagbuwa, 2025).

Bu çalışma, siber güvenlik yazınında makine öğrenmesi tabanlı saldırı tespit sistemlerinin en büyük sorunsallarından biri olan kara kutu yapısını ve kararların şeffaf olmaması sorununu ele almaktadır. Literatürde yüksek tespit başarımı sunan ancak karar gerekçelerini açıklayamayan karmaşık algoritmalar ile açıklanabilir ancak düşük tespit gücüne sahip basit modeller arasındaki ikilemi çözmeye odaklanır. Yayın, XGBoost, CatBoost ve Çok Katmanlı Algılayıcı gibi modelleri SHAP, LIME ve ELI5 teknikleriyle birleştirerek yüksek başarım ile izlenebilirliği aynı yöntemsel çerçevede buluşturan köprü niteliğinde bir işlev üstlenmektedir.

Çalışma, önceki literatürde yer alan ve yalnızca tespit doğruluğuna ya da sadece teorik açıklanabilirlik modellerine odaklanan araştırmalardan ayrılmaktadır. Geleneksel kural tabanlı sistemlerin yeni nesil tehditleri yakalamadaki yetersizliğini vurgularken, derin öğrenme yaklaşımlarının sunduğu yüksek doğruluğun şeffaflıktan ödün verilerek elde edildiğini gösterir. Araştırma, Wang ve diğerleri (2023) ile Arreche ve diğerleri (2024) tarafından yürütülen güncel XAI-IDS çalışmalarını temel alıp genişleterek hem küresel hem de yerel düzeyde öznitelik önem analizlerini UNSW-NB15 veri kümesi üzerinde deneysel olarak doğrulamaktadır.

Literatür taramaları açısından bu eser, ağ trafiğindeki teknik özniteliklerin (özellikle kaynak-hedef yaşam süresi olan sttl ve uzun süreli hedef port sayısı ct_dst_sport_ltm) saldırı tespitindeki kritik rolünü ampirik olarak kanıtlamaktadır. Açıklanabilir yapay zekâ araçlarının modellerin tahmin üretme hızına veya doğruluğuna olumsuz etki yapmadan süreç sonrasına (post-hoc) entegre edilebileceğini göstererek, gelecek akademik çalışmalara standart bir değerlendirme ve doğrulama metodolojisi sunmaktadır.