Nicel araştırma makalesi incelemesi
DOI: 10.3389/fcomp.2025.1520741Açıklanabilir Yapay Zekâ ile Makine Öğrenmesi Tabanlı Saldırı Tespit Sistemlerinin Değerlendirilmesi: Şeffaflık ve Yorumlanabilirliğin Artırılması
Modern ağ güvenlik altyapılarında makine öğrenmesi tabanlı saldırı tespit sistemleri, karmaşık siber tehditlerin ve daha önce karşılaşılmamış anormal trafik desenlerinin yakalanmasında kritik bir rol oynamaktadır. Bu durum yüksek tespit başarımı ile karar şeffaflığı arasında süre gelen bir ikileme yol açmaktadır.
Makalenin anahtar kelimeleri
- Yazar
- Vincent Zibi Mohale & Ibidun Christiana Obagbuwa
- Yayın
- Frontiers in Computer Science
- Tarih
- 2025-05-22
Makalenin Kapsamı ve Akademik İçeriği
Çağdaş siber güvenlik mimarilerinde ağ trafiğinin izlenmesi ve yetkisiz erişim girişimlerinin saptanması amacıyla kullanılan makine öğrenmesi tabanlı saldırı tespit sistemleri (IDS), karmaşık veri yapılarındaki örüntüleri öğrenme kabiliyetleriyle öne çıkmaktadır. Bununla birlikte, özellikle derin yapay sınır ağları ve gelişmiş topluluk öğrenmesi modellerinin karar verme süreçlerindeki kapalılık, güvenlik analistlerinin üretilen alarmların gerekçesini anlamasını engellemektedir. Kapalı kutu modellerinin şeffaflıktan yoksun oluşu, alarmların doğrulanmasını zorlaştırırken operasyonel güveni azaltmakta ve yasal uyum süreçlerinde aksamalara neden olmaktadır. Bu araştırma, ağ güvenliğinde yüksek tespit doğruluk oranlarını korurken karar mekanizmalarını insan tarafından anlaşılabilir kılmayı amaçlayan Açıklanabilir Yapay Zekâ (XAI) tekniklerinin sızma tespiti süreçlerine entegrasyonu konusunu ele almaktadır.
Çalışmada metodolojik olarak 2,5 milyondan fazla kayıt ve dokuz farklı saldırı türünü içeren veri seti üzerinde çeşitli makine öğrenmesi modelleri geliştirilmiş ve değerlendirilmiştir. Araştırma kapsamında Karar Ağaçları, Çok Katmanlı Algılayıcı (MLP), XGBoost, Random Forest, CatBoost, Lojistik Regresyon ve Gauss Naive Bayes algoritmaları uygulanmıştır. Model kararlarının hem küresel hem de yerel ölçekte açıklanması amacıyla SHAP, LIME ve ELI5 tekniklerinden yararlanılmıştır. Veri ön işleme aşamasında yinelemeli öznitelik eleme, korelasyon analizi ve Min-Max ölçekleme yapılmış; sınıf dengesizlikleri Sentetik Azınlık Aşırı Örnekleme Tekniği (SMOTE) kullanılarak ele alınmıştır. Modellerin performansı doğruluk, kesinlik, duyarlılık, F1 puanı, ROC-AUC değerleri ile yanlış pozitif ve yanlış negatif oranları üzerinden bütüncül biçimde sınanmıştır.
Deneysel bulgular, CatBoost ve Karar Ağaçları modellerinin %87 doğruluk oranı ve 0,07 yanlış pozitif oranı ile en yüksek genel başarımı sergilediğini göstermektedir. XGBoost modeli %86,87 doğruluk ve 0,11 yanlış negatif oranı ile yüksek hassasiyet sunarken, Çok Katmanlı Algılayıcı %85,98 doğruluk elde etmiş, Gauss Naive Bayes ise %73 doğruluk seviyesinde kalmıştır. XAI analizleri, Kaynaktan Hedefe Yaşam Süresi (sttl) ve Hedef Servis Sayısı (ct_srv_dst) özniteliklerinin kötü niyetli trafiği tespit etmede son derece kritik göstergeler olduğunu ortaya koymuştur. SHAP ve LIME görselleştirmeleri, zaman sınırlaması değerlerindeki sapmaların ve port erişim sıklıklarının modellerin kararını doğrudan saldırı yönünde etkilediğini somutlaştırarak analistlere anlaşılır çıkarımlar sağlamıştır.
Elde edilen sonuçlar, siber güvenlik literatüründe uzun süredir var olan tespit başarımı ile açıklanabilirlik arasındaki çelişkinin XAI yöntemleriyle aşılabileceğini kanıtlamaktadır. Araştırma, karmaşık algoritmaların yüksek doğruluk potansiyelini korurken güvenlik analistlerinin kararlara duyduğu güveni artıran yöntemsel bir köprü kurmaktadır. Bu doğrultuda çalışma, siber savunma alanında literatür taraması yapan ve şeffaf tespit sistemleri tasarlayan araştırmacılar için temel bir referans oluşturmaktadır. Gelecek araştırmalar için metodolojinin daha karmaşık nesnelerin interneti ve bulut altyapısı veri kümelerine uygulanması ve gerçek zamanlı tespit ortamlarında düşük işlem maliyetli açıklanabilirlik modüllerinin geliştirilmesi önerilmektedir.
Araştırmanın amacı
Bu çalışmanın temel amacı, Açıklanabilir Yapay Zekâ (XAI) tekniklerini makine öğrenmesi tabanlı saldırı tespit sistemlerine entegre ederek tespit başarımı ile model açıklanabilirliği arasındaki ikilemi çözmek, modellerin şeffaflığını ve güvenilirliğini artırmaktır(Mohale & Obagbuwa, 2025).
İnceleme ve modelleme yöntemi
Bu çalışma, makine öğrenmesi tabanlı saldırı tespit sistemlerini (IDS) UNSW-NB15 veri kümesi üzerinde farklı algoritmalar ile eğitip, Açıklanabilir Yapay Zeka (XAI) yöntemleri olan SHAP, LIME ve ELI5 ile şeffaf hale getiren deneysel bir metodoloji benimsemektedir(Mohale & Obagbuwa, 2025).
Kuramsal ve kavramsal çerçeve
Çalışma, siber güvenlikte sızma tespiti teorisi ile Açıklanabilir Yapay Zekâ (XAI) yaklaşımını birleştiren bir kuramsal çerçeveye dayanmaktadır. Karar Ağaçları, CatBoost, XGBoost, Çok Katmanlı Algılayıcı (MLP) ve Gauss Naive Bayes algoritmaları; SHAP (küresel ve yerel katkı analizi), LIME (yerel bağımsız model açıklamaları) ve ELI5 (öznitelik önem sıralaması) post-hoc açıklanabilirlik yöntemleriyle harmanlanarak analistlerin karar alma süreçlerini destekleyen şeffaf bir siber savunma yapısı modellenmiştir.
Makalenin ele aldığı literatür
Çalışma, geleneksel kural tabanlı saldırı tespit sistemlerinin yeni nesil tehditler karşısındaki yetersizliğini ele alan literatür ile derin öğrenme ve karmaşık makine öğrenmesi modellerinin kapalı kutu yapısını eleştiren çalışmaları temel alır. Literatürde tespit doğruluğu ile yorumlanabilirlik arasında kurulan zıtlık; Wang ve arkadaşları, Arreche ve arkadaşları, Barnard ve arkadaşları ile Patel ve Shah tarafından yapılan XAI odaklı IDS araştırmaları üzerinden tartışılmakta ve UNSW-NB15 veri kümesi üzerinde çoklu XAI araçlarının karşılaştırılmalı uygulanmasıyla genişletilmektedir.
Araştırma Tasarımı
- Evren veya inceleme alanı
- Ağ güvenliği alanındaki IoT ve modern ağ trafik verilerini kapsayan UNSW-NB15 veri kümesindeki tüm kayıtlar çalışmanın veri evrenini oluşturmaktadır.
- Örneklem veya araştırma materyali
- Analizlerde kullanılan materyal, UNSW-NB15 veri kümesinden elde edilen, 10 farklı saldırı türünü içeren ve temizleme işlemleri sonrasında eğitim için 175.341, test için 82.332 kayıttan oluşan alt kümedir.
- Veri toplama süreci
- Veriler, Avustralya Siber Güvenlik Merkezi (ACCS) ve ilgili açık kaynaklı UNSW-NB15 GitHub depolarından doğrudan indirilen ham CSV dosyaları aracılığıyla toplanmıştır.
- Veri analiz yöntemi
- Veri analizinde Python kütüphaneleri kullanılarak eksik ve yinelenen kayıtlar temizlenmiş, SMOTE ile sınıf dengesizliği giderilmiş, özellik seçimi için RFE uygulanmış, ardından ML modelleri eğitilip SHAP, LIME ve ELI5 ile post-hoc açıklanabilirlik analizi yapılmıştır.
Araştırmanın Bulguları
Eğitilen modeller arasında CatBoost ve Karar Ağaçları (Decision Tree) %87 ile en yüksek doğruluğa ulaşırken, XGBoost %86.87, MLP %85.98 ve Gaussian Naive Bayes %73 başarım elde etmiştir(Mohale & Obagbuwa, 2025).
Kaynak ve hedef arasındaki yaşam süresini gösteren sttl özniteliği, ağ trafiğinde normal davranış ile saldırı davranışını ayırt etmede tüm modellerde en kritik ve en etkili öznitelik olarak öne çıkmaktadır(Mohale & Obagbuwa, 2025).
XGBoost modeli özelinde yapılan SHAP analizleri, ct_dst_sport_ltm ve sttl özniteliklerinin ağdaki kötü niyetli aktiviteleri ayırt etmede sürekli olarak en yüksek katkıyı sağladığını doğrulamıştır(Mohale & Obagbuwa, 2025).
Gaussian Naive Bayes modeli %73 doğruluk oranı ve 0.83 ROC-AUC skoru ile diğer modellere kıyasla daha düşük bir performans gösterse de basitliği ve işlem hızıyla gerçek zamanlı sistemler için alternatif sunmaktadır(Mohale & Obagbuwa, 2025).
Duyarlı saldırı tespiti uygulamalarında yanlış alarm oranlarının (FPR) düşürülmesi kritik olup, CatBoost ve Karar Ağacı modelleri 0.07'lik düşük FPR değerleriyle operasyonel kuruluma en uygun modeller olarak belirlenmiştir(Mohale & Obagbuwa, 2025).
Bulguların Tartışılması ve Araştırmanın Sonucu
Bulguların Yazarlar Tarafından Yorumlanışı
Çalışmanın deneysel bulguları, özellikle CatBoost ve Karar Ağaçları modellerinin %87 doğruluk oranına ve 0.07 gibi son derece düşük bir yanlış alarm oranına (FPR) ulaştığını göstermektedir. Bu yüksek doğruluk başarımı, ağ yöneticilerinin gereksiz alarmlarla vakit kaybetmesini önleyerek operasyonel verimliliği artırma potansiyeline sahiptir.
Yazarlar, elde edilen bu yüksek başarımı sadece karmaşık matematiksel modellere değil, aynı zamanda ağ trafiğindeki paket özelliklerinin (özellikle sttl özniteliğinin) saldırganların manipülasyon davranışlarını yansıtma gücüne bağlamaktadır. Sistemlerin şeffaf olmaması, geçmişte bu tür kritik parametrelerin derinlemesine analiz edilmesini engellemekteydi.
Literatürde yer alan klasik 'kara kutu' yaklaşımlı derin öğrenme modellerine kıyasla, bu araştırmada sunulan XAI entegrasyonu doğruluktan ödün vermeden açıklanabilirlik sunmaktadır. Wang (2023) veya Arreche (2024) gibi güncel çalışmaların da işaret ettiği üzere, siber güvenlikte şeffaflık yasal uyumluluk ve insan-yapay zeka iş birliği için kaçınılmaz bir gereksinim haline gelmiştir.
Sonuç olarak bu çalışma, siber güvenlik uzmanlarının sadece alarmları izlemekle kalmayıp, o alarmın hangi ağ özniteliğinden (örneğin kaynak-hedef yaşam süresi) kaynaklandığını yerel ve küresel düzeyde görmelerini sağlamaktadır. Gelecek çalışmaların, bu yaklaşımı daha dinamik IoT ve bulut bilişim ortamlarında test etmesi önerilmektedir.
Bulguların Önceki Araştırmalarla Karşılaştırılması
Wang ve diğerleri (2024) tarafından önerilen hibrid topluluk modeline kıyasla, bu çalışma XGBoost, CatBoost ve MLP gibi spesifik makine öğrenmesi algoritmalarını SHAP, LIME ve ELI5 yöntemleriyle entegre ederek hem küresel hem de yerel düzeyde daha ayrıntılı açıklanabilirlik sunmaktadır(Mohale & Obagbuwa, 2025).
Arreche ve diğerleri (2024) ağ saldırı tespiti için uçtan uca bir XAI çerçevesi sunarken, bu çalışma belirli makine öğrenmesi modelleri üzerinde öznitelik seviyesinde doğrudan uygulanabilir ve karar süreçlerini şeffaflaştıran spesifik kanıtlar (sttl ve ct_dst_sport_ltm gibi) sağlamaktadır(Mohale & Obagbuwa, 2025).
Sonuç Bölümünün Sunduğu Çıkarımlar
Makine öğrenmesi tabanlı saldırı tespit sistemlerinin (IDS), SHAP, LIME ve ELI5 gibi Açıklanabilir Yapay Zekâ (XAI) tekniklerinin entegrasyonuyla güvenilirlik ve şeffaflık açısından önemli ölçüde geliştirilebileceği gösterilmiştir. Geliştirilen modellerden özellikle XGBoost ve CatBoost hem yüksek tahmin doğruluğu sunmakta hem de karar süreçlerindeki öznitelik ağırlıklarını anlaşılır kılarak siber güvenlik uzmanlarının hızlı ve doğru kararlar almasını kolaylaştırmaktadır(Mohale & Obagbuwa, 2025).
Literatür Taraması İçin Sunduğu Çerçeve
Bu çalışma, siber güvenlik yazınında makine öğrenmesi tabanlı saldırı tespit sistemlerinin en büyük sorunsallarından biri olan kara kutu yapısını ve kararların şeffaf olmaması sorununu ele almaktadır. Literatürde yüksek tespit başarımı sunan ancak karar gerekçelerini açıklayamayan karmaşık algoritmalar ile açıklanabilir ancak düşük tespit gücüne sahip basit modeller arasındaki ikilemi çözmeye odaklanır. Yayın, XGBoost, CatBoost ve Çok Katmanlı Algılayıcı gibi modelleri SHAP, LIME ve ELI5 teknikleriyle birleştirerek yüksek başarım ile izlenebilirliği aynı yöntemsel çerçevede buluşturan köprü niteliğinde bir işlev üstlenmektedir.
Çalışma, önceki literatürde yer alan ve yalnızca tespit doğruluğuna ya da sadece teorik açıklanabilirlik modellerine odaklanan araştırmalardan ayrılmaktadır. Geleneksel kural tabanlı sistemlerin yeni nesil tehditleri yakalamadaki yetersizliğini vurgularken, derin öğrenme yaklaşımlarının sunduğu yüksek doğruluğun şeffaflıktan ödün verilerek elde edildiğini gösterir. Araştırma, Wang ve diğerleri (2023) ile Arreche ve diğerleri (2024) tarafından yürütülen güncel XAI-IDS çalışmalarını temel alıp genişleterek hem küresel hem de yerel düzeyde öznitelik önem analizlerini UNSW-NB15 veri kümesi üzerinde deneysel olarak doğrulamaktadır.
Literatür taramaları açısından bu eser, ağ trafiğindeki teknik özniteliklerin (özellikle kaynak-hedef yaşam süresi olan sttl ve uzun süreli hedef port sayısı ct_dst_sport_ltm) saldırı tespitindeki kritik rolünü ampirik olarak kanıtlamaktadır. Açıklanabilir yapay zekâ araçlarının modellerin tahmin üretme hızına veya doğruluğuna olumsuz etki yapmadan süreç sonrasına (post-hoc) entegre edilebileceğini göstererek, gelecek akademik çalışmalara standart bir değerlendirme ve doğrulama metodolojisi sunmaktadır.
Kaynakça
- Wang, L., Zhang, Y., Li, H. (2024). Explainable AI-based innovative hybrid ensemble model for intrusion detection systems. Journal of Cloud Computing Advances, Systems and Applications, 13, 71. https://doi.org/10.1186/s13677-024-00712-x
- Arreche, O., Guntur, T., Abdallah, M. (2024). XAI-IDS: towards proposing an explainable artificial intelligence framework for enhancing network intrusion detection systems. Applied Sciences, 14(10), 4170. https://doi.org/10.3390/app14104170
Tez ve Makale Araştırmalarında Kullanım
Makalenin doğrulanmış yöntemi, bulguları ve kuramsal çerçevesi; tez ve makale çalışmalarında kullanılacağı bölümle birlikte aşağıdaki üç araştırma taslağına dönüştürülmüştür.
Tez veya makalede kullanım · literatüre-review
Saldırı tespit sistemlerinde açıklanabilir yapay zekâ entegrasyonu, model tahminlerinin doğruluğunu korurken güvenlik analistlerinin karar süreçlerine dair eyleme dönüştürülebilir içgörüler kazanmasını sağlar.
XAI tekniklerinin karmaşık kara kutu modellerinin karar mekanizmalarını insan tarafından anlaşılabilir bileşenlere ayırdığını ve güvenlik analistlerinin tehditlere daha hızlı müdahale etmesine olanak tanıdığını vurgulamak için kullanılır(Mohale & Obagbuwa, 2025).
Nesnelerin İnterneti (IoT) Ağlarında Hafif Siklet Derin Öğrenme Modellerinin Dikkat Mekanizmaları ile Açıklanabilir Saldırı Tespiti
- Araştırma sorusu
- Kısıtlı kaynaklara sahip IoT cihazlarında CNN-RNN hibrit modellerinin tespit başarımı ile dikkat mekanizması tabanlı XAI yöntemlerinin hesaplama gecikmesi arasındaki ilişki nedir?
- Yöntem taslağı
- Açık erişimli IoT trafik verisetleri (örneğin Bot-IoT) kullanılarak kısıtlı bellek ortamında CNN-RNN modelleri eğitilecektir. Veri toplama aşamasında paket zaman serileri alınacak, analiz yaklaşımında ise hesaplama süresi güç analiziyle belirlenen örneklem üzerinde ölçülerek dikkat haritalarının tespit hızı ve şeffaflığı değerlendirilecektir.
Makaleyle bağlantısı: Makalenin sonuç bölümünde, gelecek çalışmaların CNN ve RNN gibi derin öğrenme mimarilerinde dikkat mekanizmaları ve hafif XAI yöntemlerini gerçek zamanlı ortamlarda incelemesi yönündeki çağrısına dayanmaktadır(Mohale & Obagbuwa, 2025).
Tez veya makalede kullanım · method
Ağ trafiğinde saldırı ve normal davranış ayrımı yapılırken modellerin başarımı kadar kararların izlenebilirliği de SHAP, LIME ve ELI5 yöntemlerinin birlikte kullanılmasıyla bütüncül şekilde değerlendirilmelidir.
Yöntem bölümünde çoklu model değerlendirmesi ve post-hoc XAI analiz tasarımı kurgulanırken tekniklerin tamamlayıcı rollerini gerekçelendirmek amacıyla alıntılanır(Mohale & Obagbuwa, 2025).
Endüstriyel Kontrol Sistemlerinde Öznitelik Mühendisliği ve RFE Yönteminin XAI Karar Kararlılığına Etkisi
- Araştırma sorusu
- Yeniden Yinelemeli Öznitelik Eleme (RFE) ile boyut indirgeme yapılmasının SHAP ve LIME yerel açıklama kararlılığı üzerindeki etkisi nedir?
- Yöntem taslağı
- Endüstriyel sensör ve ağ trafik kayıtları üzerinde RFE ve korelasyon analizleriyle farklı öznitelik alt kümeleri oluşturulacaktır. Gradient boosting modelleri eğitilip LIME ve SHAP yerel açıklamalarının tutarlılık skorları veri doygunluğu ilkesine uygun deneysel senaryolarla analiz edilecektir.
Makaleyle bağlantısı: Makalede 49 özniteliğin RFE ile filtrelenerek modellerin karmaşıklığının azaltılması ve öznitelik önem sıralamasının kararlılığının açıklanabilirlikteki kritik rolünden türetilmiştir(Mohale & Obagbuwa, 2025).
Tez veya makalede kullanım · Tartışma
Ağ paketlerindeki kaynak-hedef yaşam süresi (sttl) parametresi, makine öğrenmesi modellerinin kötü niyetli trafik ile meşru trafiği birbirinden ayırmasında en belirleyici özniteliktir.
Tartışma bölümünde elde edilen öznitelik önem bulgularını literatürdeki ağ protokol davranışları ve saldırgan manipülasyonlarıyla karşılaştırmak için kanıt olarak sunulur(Mohale & Obagbuwa, 2025).
Siber Güvenlik Operasyon Merkezlerinde (SOC) XAI Arayüz Tasarımının Analist Tepki Sürelerine Etkisi: Bir Kullanıcı Deneyi
- Araştırma sorusu
- Saldırı tespit alarmlarında sttl ve ct_dst_sport_ltm gibi kritik özniteliklerin SHAP force plot ile görselleştirilmesi güvenlik analistlerinin yanlış alarm doğrulama süresini nasıl etkilemektedir?
- Yöntem taslağı
- Siber güvenlik analistlerinden oluşan örneklem iki gruba ayrılacaktır. Güç analizi ile belirlenecek katılımcı sayısı ile kontrol grubuna standart alarm çıktıları, deney grubuna ise SHAP görselleştirmeli arayüz sunularak doğru tespit oranı ve tepki süreleri t-testi ile analiz edilecektir.
Makaleyle bağlantısı: Yazarların makalede vurguladığı, XAI tabanlı görselleştirmelerin siber güvenlik analistlerinin alarmların kök nedenlerini anlamasını ve yanlış alarmları azaltmasını sağladığı yönündeki ampirik bulguya dayanmaktadır(Mohale & Obagbuwa, 2025).