Geri Dön

Bot detection through behavioural signals

Davranışsal sinyallere dayalı bot tespiti

PDF İndir

  1. Tez No: 998202
  2. Yazar: GHALIA JARAD
  3. Danışmanlar: PROF. DR. KEMAL BIÇAKCI
  4. Tez Türü: Yüksek Lisans
  5. Konular: Bilgisayar Mühendisliği Bilimleri-Bilgisayar ve Kontrol, Computer Engineering and Computer Science and Control
  6. Anahtar Kelimeler: Belirtilmemiş.
  7. Yıl: 2026
  8. Dil: İngilizce
  9. Üniversite: İstanbul Teknik Üniversitesi
  10. Enstitü: Lisansüstü Eğitim Enstitüsü
  11. Ana Bilim Dalı: Bilişim Uygulamaları Ana Bilim Dalı (disiplinlerarası)
  12. Bilim Dalı: Bilgi Güvenliği Mühendisliği ve Kriptografi Bilim Dalı
  13. Sayfa Sayısı: Belirtilmemiş.

Özet

Web üzerindeki otomatik trafik insan kaynaklı trafiği geçmeye devam etti ve bu otomasyonun artan bir oranı açıkça kötü niyetliydi: 2024'te otomatik istekler tüm web trafiğinin %51'ini oluştururken, kötü botlar toplam isteklerin yaklaşık %37'sini oluşturdu ve saldırılar giderek artan bir şekilde yapay zeka tarafından desteklendi. Saldırganlar artık sadece gürültülü, düşük becerili tarayıcılar (crawler) kullanmıyor; gerçek kullanıcı gibi davranan, hatta Captcha çözen ve insan etkileşim modellerini büyük ölçekte taklit etmek için başsız tarayıcı (headless browser) araçlarını kullanan, yapay zeka ile güçlendirilmiş, tespit edilmesi zor botlara giderek daha fazla güveniyorlar. Sonuç, savunanların sinyalleri güçlendirdiği ve tespit maliyetini artırdığı, saldırganların ise bu savunmalardan kaçınmak için aynı otomasyon ve şaşırtma (obfuscation) tekniklerini ödünç aldığı, hızla tırmanan bir silahlanma yarışıdır. Önceki nedenlerin tümü, sağlam tespit yöntemleri geliştirmenin önemini vurgulamaktadır. Botlar tarafından yapılan dolandırıcılık, veri kazıma ve hesap ele geçirme işlemleri, işletmeler için gerçek finansal kayıplara yol açmaktadır. Güvenlik önlemleri yanlışlıkla gerçek kullanıcıları engellediğinde işletmeler zarar görebilir; ancak gelişmiş botların yakalanamaması da sistemleri savunmasız bırakır. Bu nedenle, sahada yüksek doğrulukla (düşük yanlış pozitif ve düşük gözden kaçan tehdit oranı) tespit yapan bot tespit yöntemlerine güçlü bir talep vardır. Laboratuvarda etkili olan bir teknik, gerçek dünya koşullarında çalışmayabilir. Birçok yeni yöntem, tüm gerçek dünya zorluklarını yansıtmayan sentetik laboratuvar verileri üzerinde test edilmektedir. Bu durum, testleri geçen bir modelin vekil (proxy) ağlarına veya yapay zeka destekli botlara karşı yine de başarısız olabileceği için aşırı güvene yol açabilir. Bu tez, etiketlenmiş gerçek dünya veri kümeleriyle yapılan gerçekçi testlere odaklanmaktadır. Saldırganların saklanmasını zorlaştırmak önemlidir. User-agent dizeleri veya temel davranışlar gibi basit sinyallerin sahtesini yapmak kolaydır. Buna karşılık, cihaz düzeyindeki parmak izleri; protokoller, TLS el sıkışmaları ve donanım ile yazılıma bağlı yazılım izleri gibi ayrıntıları kullanır. Bunları manipüle etmek bot geliştiricileri için çok daha zor ve maliyetlidir. Savunanlar, bu daha güçlü sinyallere odaklanarak saldırganların meşru görünmesini çok daha zor hale getirebilirler. Bu tezde“davranışsal sinyaller”terimi, yalnızca insan etkileşim kalıplarını (fare, tuş vuruşu dinamikleri) değil, aynı zamanda protokol ve cihaz katmanında gözlemlenebilen istemci düzeyindeki davranışsal izleri de içerecek şekilde geniş anlamda kullanılmıştır. Taşıma Katmanı Güvenliği (TLS) parmak izi alma, istemci ve sunucu yazılımlarını TLS el sıkışmalarının gözlemlenebilir özelliklerine dayanarak tanımlamak veya sınıflandırmak için kullanılan pasif bir ağ analizi tekniğidir. Yöntem, şifreli oturum yükünün şifresini çözmek yerine, bir TLS yığınının uygulamasını ve yapılandırmasını temsil eden benzersiz bir“parmak izi”türetmek için başta Client Hello ve Server Hello mesajları olmak üzere şifrelenmemiş el sıkışma üstverilerini analiz eder. TLS el sıkışma parametre sıralaması, eklenti kullanımı ve şifre tercihleri gibi otomatik etkileşimler sırasında yapılan protokol düzeyindeki seçimler, istemci yazılımı ve kütüphanelerinin uygulama davranışını yansıtır. JA4 TLS parmak izleri bu uygulama davranışlarını yakalar ve bu nedenle botların büyük ölçekte taklit etmesi daha zor olan bir davranışsal sinyal biçimi olarak işlev görür. Cihaz parmak izi almanın, özellikle JA4 yöntemiyle TLS parmak izi almanın, gerçek dünya web trafiğinde botları gerçek kullanıcılardan ayırmaya nasıl yardımcı olabileceğini inceliyoruz. IP engelleme ve CAPTCHA gibi geleneksel yöntemler gelişmiş botlar tarafından sıklıkla atlatıldığından, bu araştırma; pasif, protokol düzeyinde ve cihaz düzeyinde parmak izi almanın botları yönetmek için nasıl daha güçlü ve daha az rahatsız edici bir yol sunabileceğini incelemektedir. İki gradyan artırmalı makine öğrenimi sınıflandırıcısı (XGBoost ve CatBoost), TLS el sıkışma parametrelerini tanımlayan JA4 parmak izlerinden bilgilendirici sinyaller türeten ve istemci TLS bağlantılarının özelliklerini yakalayan bir öznitelik seti sağlayan öznitelik çıkarımı işleminden sonra, gerçek TLS parmak izlerinden oluşan bir veri seti (JA4DB) üzerinde eğitilmiş ve değerlendirilmiştir. Yaklaşımın teknik olarak uygulanabilir olduğundan emin olmak için modeller doğruluk, kesinlik-duyarlılık (precision-recall) ve F1-skoru gibi metrikler temel alınarak değerlendirilmiştir. CatBoost modeli daha iyi performans gösterdi ve çok yüksek bir puan aldı. 0.998 AUC ve 0.9734 F1 skoruna ulaştı. Test setinde 0.9863 oranında doğruluk sağladı. XGBoost modeli de hemen hemen benzer sonuçlar gösterdi. Öznitelik önemi analizleri; JA4 bileşenlerini, özellikle `ja4_b` (sıralanmış şifre paketi listesinin bir özeti/hash'i), `cipher_count` ve `ext_count` değişkenlerini model performansına en önemli katkıyı sağlayan unsurlar olarak tanımladı. Bunun nedeni, tarayıcıların tutarlı TLS alışkanlıklarını (kararlı şifre tercihleri, karakteristik eklenti sıralaması ve güncel protokol sürümleri) takip etmesi; oysa otomatik veya kötü niyetli istemcilerin genellikle güncelliğini yitirmiş şifreler veya az sayıda eklenti ve şifre sunmasıdır. Bu çalışma, protokol düzeyinde parmak izi alma ile web botu tespitini ilişkilendirerek siber güvenlik için makine öğrenimine katkıda bulunmaktadır. Araştırmacılar ve profesyoneller için açık bir metodoloji ve pratik bir strateji sunmaktadır. Sonuç olarak bu tez, cihaz parmak izi almanın, özellikle JA4 gibi TLS parmak izi alma tekniklerinin iyi çalışabildiğini göstermekte ve botlara karşı korunmak için ölçeklenebilir bir çözüm olma vaadi sunmaktadır. Önerilen yaklaşım gerçek bir veri seti üzerinde test edildiğinde güçlü sonuçlar elde etmiştir. Bu araştırmayı geliştirmenin ve ileriye taşımanın birkaç yolu vardır. Önemli yollardan biri, birden fazla sinyali bir arada inceleyen deneyler yapmaktır. Bu, yöntemi HTTP/3 gibi yeni protokollere genişletmeyi ve bot tespiti için uygulandığında WebAssembly zamanlaması, CPU mikro kıyaslamaları (microbenchmarks), İstemci İpuçları (Client Hints) ve GPU parmak izleri gibi faktörleri analiz etmeyi içerir; böylece her bir yönün tespite ne kadar katkıda bulunduğunu daha iyi anlayabilir ve özellikle saldırganların uyarlanabilir stratejileriyle karşılaşıldığında bunların nasıl etkileşime girdiğini keşfedebiliriz. Bir diğer önemli yön ise, TLS yığınlarını değiştirmek, zamanlama gürültüsü eklemek veya gelişmiş vekiller (proxies) kullanmak gibi taktiklerini değiştirebilen botları simüle etmek için senaryolar oluşturmak anlamına gelen“çekişmeli test”tir (adversarial testing). Buradaki temel amaç, tespitten kaçmak için gereken eforu belirlemektir.

Özet (Çeviri)

Automated traffic continued to surpass human-generated traffic on the web, and a rising proportion of this automation was explicitly malicious: in 2024, automated requests represented 51% of all web traffic, while bad bots made up about 37% of total requests, with attacks increasingly enabled by AI. Attackers no longer operate just noisy, low‑skill crawlers; they increasingly rely on AI augmented evasive bots that pretend to be real users, even solve Captchas and use headless browser tools to mimic human interaction patterns at scale. The result is a rapidly escalating arms race in which defenders harden signals and raise the cost of detection, and attackers borrow the same automation and obfuscation techniques to evade those defenses. All of the previous reasons underscore the importance of developing robust detection methods. In this thesis the term behavioural signals is used broadly to include not only human interaction patterns (mouse, keystroke dynamics) but also client-level behavioral traces observable at the protocol and device layer. Protocol-level choices made during automated interactions such as TLS handshake parameter ordering, extension usage, and cipher preferences, reflect the implementation behavior of client software and libraries. JA4 TLS fingerprints capture these implementation behaviors and therefore function as a form of behavioral signal that is harder for bots to spoof at scale. We examine how device fingerprinting, specifically TLS fingerprinting with the JA4 method, can help distinguish bots from real users in real-world web traffic. Because traditional methods such as IP blocking and CAPTCHA are often bypassed by advanced bots, this research examines how passive, protocol-level, and device-level fingerprinting can offer a stronger, less disruptive way to manage bots. Two gradient-boosted machine learning classifiers (XGBoost and CatBoost) were trained and evaluated on a dataset of real TLS fingerprints (JA4DB) after feature extraction, which derived informative signals from JA4 fingerprints that describe TLS handshake parameters, yielding a feature set that captures characteristics of client TLS connections. To make sure the approach is technically feasible, the models were evaluated based on metrics like accuracy, precision-recall, and F1-score. The CatBoost model did better and got a very high score. It got an AUC of 0.998 and an F1 score of 0.9734. It was accurate 0.9863 of the time on the test set. The XGBoost model showed almost similar results. Feature importance analyses identified JA4 components, especially ja4_b, cipher_count, and ext_count, as the most significant contributors to model performance. This work contributes to machine learning for cybersecurity by correlating protocol-level fingerprinting and web bot detection. It provides an explicit methodology and practical strategy for researchers and professionals. To conclude, this thesis demonstrates that device fingerprinting is capable of working well, especially TLS fingerprinting techniques like JA4, and offers promise to be a scalable solution to protect against bots. The proposed approach achieved strong results when tested on a real dataset. Looking ahead future research direction will extend this method to new protocols such as HTTP/3 and add additional device-fingerprinting features to test how well the system resists advanced bot evasion tactics. Overall, the findings emphasize the importance of protocol-level fingerprinting in advancing bot detection in modern cybersecurity.

Benzer Tezler

  1. Tez No

    760223

    Quantifying behavioral complexities of human and bot accounts using data compression

    Veri sıkıştırma yöntemleri kullanarak insan ve bot hesapların davranışsal karmaşıklık analizi

    DAVUT BAYIK

    Yüksek Lisans

    İngilizce

    İngilizce

    2022

    Bilgisayar Mühendisliği Bilimleri-Bilgisayar ve KontrolSabancı Üniversitesi

    Mühendislik ve Doğa Bilimleri Ana Bilim Dalı

    DR. ÖĞR. ÜYESİ ONUR VAROL

  2. Tez No

    21741

    Hasır çelik takviyeli çelik-beton kompozit döşeme plaklarının pozitif moment bölgesindeki davranışı ve taşıma gücü

    The Behaviour and the load carrying capacity of composite slabs with reinforcing lattice used as connector, in the zone of positive bending moments

    CAVİDAN YORGUN

    Doktora

    Türkçe

    Türkçe

    1992

    İnşaat Mühendisliğiİstanbul Teknik Üniversitesi

    PROF. DR. TEVFİK SENO ARDA

  3. Tez No

    924146

    Nesnelerin interneti ağlarında derin öğrenme tabanlı yeni bir saldırı tespit sistemi

    A novel deep learning-based intrusion detection system for internet of things networks

    KEMAL AKKANAT

    Doktora

    Türkçe

    Türkçe

    2025

    Bilgisayar Mühendisliği Bilimleri-Bilgisayar ve KontrolTrakya Üniversitesi

    Hesaplamalı Bilimler Ana Bilim Dalı

    PROF. DR. MUHARREM TOLGA SAKALLI

  4. Tez No

    1000288

    Utilizing unmanned aerial vehicles (drones) for enhanced security surveillance in sensitive areas

    Hassas alanlarda gelişmiş güvenlik gözetimi için insansız hava araçlarının (drone'ların) kullanılmasel

    ABDURRAHMAN EL NECCAR

    Yüksek Lisans

    İngilizce

    İngilizce

    2026

    Havacılık ve Uzay MühendisliğiGaziantep Üniversitesi

    Uçak ve Uzay Mühendisliği Ana Bilim Dalı

    DR. ÖĞR. ÜYESİ SOHAYB ABDULKERİM

  5. Tez No

    659728

    An intelligent security architecture for SDN-assisted iot networks

    YTA destekli nesnelerin interneti ağları için akıllı güvenlik mimarisi

    AHMED DEMİRPOLAT

    Doktora

    İngilizce

    İngilizce

    2021

    Bilgisayar Mühendisliği Bilimleri-Bilgisayar ve KontrolOrta Doğu Teknik Üniversitesi

    Bilgisayar Mühendisliği Ana Bilim Dalı

    DR. ÖĞR. ÜYESİ PELİN ANGIN

Geri Dön