Web ve API zafiyetlerine yönelik güvenlik stratejileri ile XSS saldırılarının makine öğrenmesi yöntemleriyle tespiti
Security strategies against web and API vulnerabilities with machine learning-based detection of XSS attacks
- Tez No: 941696
- Danışmanlar: DR. ÖĞR. ÜYESİ DURMUŞ ÖZKAN ŞAHİN
- Tez Türü: Yüksek Lisans
- Konular: Bilgisayar Mühendisliği Bilimleri-Bilgisayar ve Kontrol, Computer Engineering and Computer Science and Control
- Anahtar Kelimeler: Belirtilmemiş.
- Yıl: 2025
- Dil: Türkçe
- Üniversite: Ondokuz Mayıs Üniversitesi
- Enstitü: Lisansüstü Eğitim Enstitüsü
- Ana Bilim Dalı: Bilgisayar Mühendisliği Ana Bilim Dalı
- Bilim Dalı: Belirtilmemiş.
- Sayfa Sayısı: Belirtilmemiş.
Özet
Bu çalışma, modern web ve Uygulama Program Arayüzü (Application Programming Interface: API) tabanlı sistemlerde yaygın olarak karşılaşılan güvenlik açıklarını detaylı şekilde incelemektedir. Bu zafiyetlere karşı uygulanabilir güvenlik stratejileri geliştirmeyi amaçlamaktadır. Ayrıca, Siteler Arası Betik Çalıştırma (Cross-Site Scripting: XSS) saldırılarını makine öğrenmesi yöntemleriyle tespit etmeye yönelik deneysel bir analiz sunmaktadır. Çalışma; yazılım geliştiriciler, sistem yöneticileri ve siber güvenlik uzmanlarına rehberlik etmeyi hedeflemektedir. Güvenlik açıklarının tanınması, anlaşılması ve önlenmesine katkı sağlamayı amaçlamaktadır. Aynı zamanda, güvenlik farkındalığını artırarak hem bireysel hem de kurumsal düzeyde daha dirençli dijital sistemlerin oluşturulmasına yönelik stratejiler sunmaktadır. Araştırmanın kapsamı; Açık Web Uygulaması Güvenlik Projesi (Open Web Application Security Project: OWASP) Top 10 2021 listesinde yer alan güvenlik açıklarının detaylı analizini içermektedir. Bu açıkların istismar yöntemleri, operasyonel süreçlere etkileri ve organizasyonlara verebileceği potansiyel zararlar da kapsam dahilindedir. Güvenli kimlik doğrulama, veri doğrulama mekanizmalarının eksiklikleri ve sistem yapılandırma hataları gibi kritik güvenlik zafiyetleri örneklerle ele alınmıştır. Çalışmanın ikinci bölümünde, XSS saldırılarının tespiti amacıyla kapsamlı bir deneysel analiz gerçekleştirilmiştir. Bu kapsamda, metin madenciliğine dayalı iki farklı metin temsil yöntemi kullanılmıştır. Bunlar; Kelime Çantası (Bag of Words: BoW) ve Terim Frekansı-Ters Doküman Frekansı (Term Frequency-Inverse Document Frequency: TFIDF) yöntemleridir. Bu yöntemlerle öznitelik uzayı yapılandırılmıştır. Dokuz farklı sınıflandırma algoritması, çeşitli öznitelik seçme yöntemleriyle birlikte değerlendirilmiştir. Elde edilen sonuçlar özellikle Çok Katmanlı Algılayıcı, Rastgele Orman, AdaBoost ve Destek Vektör Makinesi gibi algoritmaların yüksek doğruluk ve F1-skoru ile öne çıktığını göstermiştir. Önerilen öznitelik seçme yöntemi ile sadece 4 veya 5 öznitelik kullanılarak \%99'un üzerinde doğruluk elde edilmiştir. Bu durum, geliştirilen yöntemin etkinliğini ortaya koymaktadır. Ayrıca farklı metin temsil tekniklerinin sınıflandırma performansı üzerindeki etkisi de değerlendirilmiştir. Doğru kombinasyonlarla XSS saldırılarının başarılı şekilde tespit edilebileceği gösterilmiştir. Bu yönüyle çalışma, hem güvenlik açıklarının önlenmesine yönelik stratejik yaklaşımlar sunmakta hem de makine öğrenmesi yöntemleriyle saldırı tespitine dair uygulanabilir çözümler geliştirmektedir.
Özet (Çeviri)
This study provides an in-depth examination of security vulnerabilities commonly encountered in modern web and API-based systems. It aims to develop applicable security strategies to address these vulnerabilities. Additionally, it presents an experimental analysis focused on detecting Cross-Site Scripting (XSS) attacks using machine learning techniques. The study is intended to serve as a guide for software developers, system administrators, and cybersecurity professionals. It aims to contribute to the recognition, understanding, and prevention of security vulnerabilities, while also enhancing security awareness to foster the development of more resilient digital systems at both individual and organizational levels. The scope of the research includes a detailed analysis of the security vulnerabilities listed in the Open Web Application Security Project (OWASP) Top 10 2021. It also covers exploitation methods, impacts on operational processes, and the potential damage these vulnerabilities may cause to organizations. Critical issues such as insecure authentication, deficiencies in data validation mechanisms, and misconfigurations in system setups are discussed with illustrative examples. In the second part of the study, a comprehensive experimental analysis is conducted to detect XSS attacks. In this context, two text representation methods based on text mining are employed: Bag of Words (BoW) and Term Frequency-Inverse Document Frequency (TFIDF). These methods are used to construct the feature space. Nine different classification algorithms are evaluated in combination with various feature selection techniques. The results show that algorithms such as Multilayer Perceptron, Random Forest, AdaBoost, and Support Vector Machine stand out with high accuracy and F1-scores. With the proposed feature selection method, over 99\% accuracy was achieved using only 4 or 5 features. This demonstrates the effectiveness of the proposed method. Furthermore, the impact of different text representation techniques on classification performance is assessed. The findings reveal that XSS attacks can be successfully detected with the right combination of methods. In this respect, the study not only offers strategic approaches for preventing security vulnerabilities but also provides practical solutions for attack detection using machine learning techniques.
Benzer Tezler
- Mikroservis ve UPA güvenliği için karma yöntem tasarımı
Hybrid design for microservice and API security
MEHMET NAZIM TAT
Yüksek Lisans
Türkçe
2021
Bilim ve TeknolojiGebze Teknik ÜniversitesiBilgisayar Mühendisliği Ana Bilim Dalı
PROF. DR. İBRAHİM SOĞUKPINAR
- Mikroservis tabanlı ağ uygulamalarında zararlı davranışların saptanması
Detecting malicious behavior in microservices-based web applications
MUSTAFA ÖZBEK
Yüksek Lisans
Türkçe
2019
Bilgisayar Mühendisliği Bilimleri-Bilgisayar ve Kontrolİstanbul Teknik ÜniversitesiBilgisayar Mühendisliği Ana Bilim Dalı
DR. ÖĞR. ÜYESİ MEHMET TAHİR SANDIKKAYA
- Көп тилдүү веб тиркемелердин мазмунунда колдонулган тилдерди аныктоо: аспап иштеп чыгуу жана тил колдонуусун талдоо
Çok dilli web uygulamalarının içeriğinde kullanılan dillerin belirlenmesi: Araç geliştirme Ve dil kullanım analizi
NURMİLA CETİMİŞOVA
- Web tabanlı CBS, sokak görünümü ve sanal gerçeklik
Web based GIS, street view and virtual reality
TOLGA BAKIRMAN
Yüksek Lisans
Türkçe
2013
Jeodezi ve FotogrametriYıldız Teknik ÜniversitesiHarita Mühendisliği Ana Bilim Dalı
DOÇ. DR. MUSTAFA ÜMİT GÜMÜŞAY
- Kartografik ve jeodezik hesaplama amaçlı web tabanlı yazılım kütüphanesi geliştirme
Development of web-based software library for cartographic-geodetic calculations
UMUT VURAL
Yüksek Lisans
Türkçe
2022
Jeodezi ve FotogrametriKonya Teknik ÜniversitesiHarita Mühendisliği Ana Bilim Dalı
PROF. DR. İBRAHİM ÖZTUĞ BİLDİRİCİ
