WİNDOWS OLAY GÜNLÜKLERİNDE GRAFİK DÖNÜŞTÜRÜCÜ AĞLAR İLE ANOMALİ TESPİTİ

Abstract

Bu araştırma, artan siber tehditlere karşı güvenlik sisteminin etkinliğini artırmak amacıyla Windows Olay Günlüklerinden alınan verileri analiz etmek için Graph Transformer Network (GTN)'den esinlenilen grafik tabanlı bir yaklaşım sunmaktadır. GTN'nin temel aldığı GCN tabanlı yapı, Windows olay günlüklerinin ayrıntılı incelenmesine odaklanarak karmaşık ve çeşitli veri kaynaklarının analiz edilmesi için yeni olanaklar açar. Kullanılan veri kümesindeki olay günlükleri; kayıt defteri ve sistem değişikliklerini, güvenlik ihlallerini ve tehdit simülasyonlarını içerir. Veri seti, gelişmiş tehdit aktörlerinin taktik, teknik ve prosedürlerini simüle eden olay günlüğü verilerinden oluşmaktadır. Bu yaklaşım, mevcut güvenlik çözümlerinin güçlendirilmesine ve yeni savunma stratejilerinin geliştirilmesine bu yaklaşım yardımcı olur. Aynı zamanda bu veri setini kullanan araştırma sonuçları, siber güvenlik uzmanlarının ve araştırmacıların saldırı vektörlerini ve saldırı yüzeylerini daha iyi anlamalarını sağlayabilir. Bu çalışma, veri kümesindeki her olayı ve olaylar arasındaki etkileşimleri grafik tabanlı bir yapıda modellemektedir. GTN tabanlı modellerde her olay bir düğüm olarak temsil edilir ve düğümler arasındaki kenarlar bu olayların birbirleriyle olan etkileşimlerini ve bağlantılarını gösterir, böylece karmaşık siber tehdit senaryoları içindeki ilişkisel bağlantıları ve yapısal kalıpları ortaya çıkarır. GTN, bu grafiklerdeki karmaşık yapısal kalıpları ve bağlantıları öğrenerek normal ve anormal davranışlar arasındaki farkları ayırt edebilir. Geleneksel güvenlik sistemlerinin gözden kaçırabileceği ince ayrıntıları ve ilişkileri belirlemede bu yaklaşım etkilidir. Alışılagelmiş grafik tabanlı sinir ağlarından farklı olarak GTN modeli, uzun mesafeli bağlantıları ve büyük yapısal kalıpları öğrenmede daha iyidir; bu, Windows Olay Günlükleri gibi karmaşık verileri işlemek için önemlidir. Bu çalışma, GTN prensiplerinden esinlenilen bir yaklaşımın ayrıntılı bir veri seti üzerinde uygulanmasını gösterecek, siber güvenlik tehditlerinin daha iyi anlaşılmasını ve tanımlanmasını kolaylaştıracak, sonuçta siber güvenlik alanında tehdit tespit ve analiz yöntemlerini geliştirecek ve siber güvenlikle ilgili mevcut literatüre önemli ölçüde katkıda bulunacaktır.

This research presents a graph-based approach inspired by Graph Transformer Network (GTN) to analyze data from Windows Event Logs to increase the effectiveness of the security system against increasing cyber threats. The GCN-based structure on which GTN is based opens new possibilities for analyzing complex and diverse data sources by focusing on detailed examination of Windows event logs. The event logs in the dataset used include registry and system changes, security breaches, and threat simulations. The dataset consists of event log data simulating the tactics, techniques, and procedures of advanced threat actors. This approach helps strengthen existing security solutions and develop new defense strategies. At the same time, research results using this dataset can provide cybersecurity experts and researchers with a better understanding of attack vectors and attack surfaces. This study models each event in the dataset and the interactions between events in a graph-based structure. In GTN-based models, each event is represented as a node, and the edges between nodes show the interactions and connections of these events, thus revealing the relational connections and structural patterns within complex cyber threat scenarios. By learning complex structural patterns and connections in these graphs, GTN can distinguish between normal and abnormal behaviors. This approach is effective in identifying subtle details and relationships that traditional security systems may miss. Unlike conventional graph-based neural networks, the GTN model is better at learning long-distance connections and large structural patterns, which is important for processing complex data such as Windows Event Logs. This study will demonstrate the application of an approach inspired by GTN principles on a detailed dataset, facilitating a better understanding and identification of cybersecurity threats, ultimately improving threat detection and analysis methods in the cybersecurity field, and significantly contributing to the existing literature on cybersecurity.