Nöromorfik hesaplama ve memristor tabanlı ağ saldırı tespit sistemleri: Siber güvenlikte yeni yaklaşımlar

Abstract

Güncel siber tehditler, giderek artan trafik hacimleri ve karmaşık saldırı vektörleri nedeniyle geleneksel imza-tabanlı çözümlerin sınırlarını zorlamaktadır. Gecikme ve enerji kısıtları altında çalışan uç/bulut-kenarı sistemlerde, hem bilinen hem de "zero-day" niteliğindeki bilinmeyen saldırıların yakalanması için daha verimli, adaptif ve düşük maliyetli yaklaşımlara ihtiyaç vardır. Bu tez, nöromorfik hesaplama ilkelerini (olay-tabanlı işleme, sivri uç/spike tabanlı temsil) ve memristif donanım olanaklarını, saldırı tespit sistemlerine (IDS) uyarlayan bir çatı önermektedir. Çalışmada spiking autoencoder (SAE) ve spiking varyasyonel autoencoder (SVAE) mimarileri üzerine kurulu, unsupervised/yarı-gözetimsiz anomali tespiti yaklaşımı geliştirilmiş; model öğrenimi ile donanıma eşleme süreci "train-then-constrain" çizgisinde ele alınmıştır. Özellikle Intel Loihi/IBM TrueNorth sınıfı nöromorfik işlemcilerle ve memristör çapraz-çubuk matrisleriyle uyumlu düşük bitli nicemleme, ağırlık ayrıklaştırma ve çekirdek/sinaps yerleşimi stratejileri, çalışma kapsamının ayrılmaz parçasıdır. Veri tarafında, geniş kabul görmüş NSL-KDD ve CICIDS2017 veri setleri esas alınmış; öz nitelik temizleme, kodlama ve dengeleme adımları sistematik bir iş akışı şeklinde uygulanmıştır. Kodlama cephesinde hibrit bir strateji izlenmiş; ikili (binary), hız-tabanlı (rate) ve ateşleme-zamanı (time-to-spike, TTS) kodlama yöntemleri, nöromorfik sinir katmanlarına uygun spike akışları üretmek üzere kalibre edilmiştir. Rate kodlamada hedef ortalama spike oranı p̄, zaman penceresi T ve özellik boyutu D göz önüne alınarak beklenen spike sayısı T×D×p̄ düzeyinde kontrol edilmiştir; T'nin artırılmasının beklenen olay sayısını doğrusal büyüttüğü analizlerle gösterilmiştir. Bu sayede hem bilgi kaybı sınırlandırılmış hem de olay-tabanlı donanım tarafında enerji-gecikme dengesi optimize edilmiştir. Model mimarisinde SAE ve SVAE'nin tercih edilmesinin temel gerekçesi, etiket bağımlılığını azaltarak "normal davranışın spiking temsillerini" öğrenebilme yeteneğidir. SAE, yeniden yapım hatasını (binary çapraz entropi) minimize ederken; SVAE, olasılıksal gizil değişkenler üzerinden β-ağırlıklı ELBO optimizasyonu ile düzenli bir gizil alan öğrenir. Bu olasılıksal çerçeve, özellikle zero-day koşullarında gözlenen dağılım kaymalarına karşı daha esnek karar yüzeyleri sağlar. Her iki mimari de LIF nöronları ve vekil-türev yaklaşımlarıyla eğitilmiş; eğitimden sonra ağırlıklar simetrik int8 düzeyine nicemlenerek çekirdekler/sinapslar üstünde ayrıklaştırılmıştır. Eğitim-doğrulama-test ayrımlarında veri sızmasını önlemek ve adil kıyaslama yapmak amacıyla katı ilkelere bağlı kalınmıştır: karar eşiği τ, yalnızca doğrulama kümesindeki yeniden yapım ya da ELBO skor dağılımının üst yüzdeliklerine (%97–%99.9) göre seçilmiş ve test aşamasında dondurulmuştur. Dengesiz sınıf koşullarını doğru yansıtmak için ROC-AUC ile birlikte PR-AUC, saldırı sınıfı odaklı Precision/Recall/F1 ve Balanced Accuracy birlikte raporlanmıştır. Uygulama senaryosuna göre "dengeli politika" (BA maksimizasyonu) ya da "saldırı odaklı politika" (Recall/F1 maksimizasyonu) benimsenmiş; eşik kalibrasyonu buna göre yapılmıştır. Bu prosedür, sabit yanlış-alarm (FPR) ya da sabit geri çağırma (Recall) rejimlerinde operasyonel kararlılığı artırmıştır. Deneysel çalışma iki eksende yürütülmüştür: (i) Algısal performans: SAE/SVAE'nin CNN, RNN/LSTM ve Transformer tabanlı çizgilerle karşılaştırılması; (ii) Donanım verimliliği: CPU/GPU'ya kıyasla Nöromorfik sınıfı ve memristör prototiplerinin enerji, gecikme, bellek ayak izi ve akson yoğunluğu metrikleri. NSL-KDD'de özet metrikler, SVAE'nin düşük FPR ve yüksek Recall bölgelerinde daha kararlı kaldığını; bu dengenin F1 ve PR-AUC üstünlüğüne yansıdığını göstermektedir. Zero-day alt senaryolarında SVAE, tüm geri çağırma aralığında SAE'ye göre daha yüksek duyarlılık üretmekte; PR-AUC bakımından da belirgin bir üstünlük sergilemektedir. Sayısal bulgular, önerilen yöntemin hem bilinen hem de bilinmeyen tehditlerde etkili olduğunu ortaya koymaktadır. "Tespit edilen anomaliler oranı" başlığında özetlenen sonuçlara göre imza-tabanlı bilinen saldırılarda başarı %95,30; zero-day saldırılarda ise %89,00 seviyesine ulaşmıştır. Ayrıca saldırı türü bazında (ör. DDoS, MITM, phishing) oranlar yüksek düzeydedir ve zero-day alt kümesi için de rekabetçi değerler raporlanmıştır. Metodolojik olarak farkların tesadüfi olup olmadığını sınamak üzere McNemar ve işaret testleri ile bootstrap güven aralıkları kullanılmış; eşik seçimi ise doğrulama üzerinde belirlenip testte sabitlenerek tekrarlanabilirlik güçlendirilmiştir. Donanım verimliliği karşılaştırmaları, nöromorfik/memristif platformların enerji ve gecikme açısından klasik CPU tabanlı çalışmaya kıyasla kayda değer üstünlük sunduğunu göstermektedir. Örneğin TrueNorth sınıfı bir yerleşimde tahmini kestirim başına enerji ~0.012 J ve gecikme ~3.8 ms seviyesindeyken, CPU tabanlı karşılaştırmada bu değerler sırasıyla ~0.250 J ve ~22 ms düzeyindedir; bellek ayak izi ve çekirdek ataması da donanıma elverişli ölçekte tutulabilmiştir. Memristör prototiplemesinde sinaptik iletkenlikler ayrık ağırlıklara eşlenmiş; yaz-okuma sürünmesi ve gürültü etkileri yinelemeli kalibrasyonla dengelenmiştir. Bu bulgular, uç cihazlarda enerji-gecikme kısıtları altında gerçek zamanlı IDS dağıtımını mümkün kılmaktadır. Çalışmanın özgün katkıları üç başlıkta toplanabilir: (i) Nöromorfik donanımla uyumlu hibrit veri kodlama ve spike bütçesi yönetimi (p̄, T, D parametrelerinin birlikte kalibrasyonu) sayesinde hem bilgi bütünlüğü hem de enerji-gecikme dengesi korunmuştur. (ii) SAE/SVAE'nin donanıma eşlenmesini kolaylaştıran ayrık ağırlıklar, int8 nicemleme ve çekirdek/sinaps yerleşimi prosedürleri açıkça tanımlanmış; memristif çapraz-çubuklara aktarımda sürünme/gürültü telafisi pratik bir akışa bağlanmıştır. (iii) Adil değerlendirme ve eşiğe duyarlı raporlama ilkeleri (τ'nin doğrulama-temelli seçilmesi; ROC-AUC ve PR-AUC'nin birlikte verilmesi; BA/F1 odaklı politika seçimi), IDS literatüründeki dengesiz veri ve operasyonel maliyet sorunlarını pratikte gözetmiştir. Sınırlılıklar ve gelecek çalışmalar açısından, daha geniş ölçekli trafiğin (ör. CICIDS2017 tam akışları), canlı ağ telemetrisi ve farklı saldırı türleriyle (ör. tedarik zinciri, çok-aşamalı APT) sınanması; ayrıca federatif/kenar dağıtımla model güncellemelerinin gecikme-gizlilik dengesinde yönetilmesi planlanmaktadır. Donanım tarafında, çok çekirdekli nöromorfik dizilerde akson yönlendirme maliyetleri ve bellek dar boğazları için akıllı yerleşim/bağlaç stratejileri; memristörlerde dayanıklılık-kararlılık (endurance/retention)-hassasiyet (conductance precision) üçgeninin uygulamaya özel optimizasyonu da önemli bir araştırma vektörüdür. Sonuç olarak, tezde sunulan çatı; zero-day tespitinde rekabetçi doğruluk, düşük gecikme ve yüksek enerji verimliliğini birlikte sağlayarak, gerçek zamanlı ve kaynak kısıtlı ortamlarda uygulanabilir bir IDS çözümü ortaya koymaktadır.