SAAS Uygulamalar için bir Anomali Alglama Sistemi Tunç Gültekin, Özgü Can Ege Üniversitesi Bilgisayar Mühendisli§i Bölümü, 35100 Bornova, zmir tuncgultekin@gmail.com, ozgucan@ege.edu.tr Özet. SAAS ortamlarnda kullanc ³ifrelerinin ele geçirilmesiyle olu³an yetkisiz oturumlarn tespiti ve sonlandrlmas, kullanc güvenli§i açsnda oldukça önemlidir. Bunun için kullanclar ³ifreleri olmakszn tanm- layabilecek ikincil bir yöntem gerekmektedir. nsan zyolojisinde sklkla tekrarlanan hareketler bir süre sonra kas hafzas ad verilen mekaniz- maya göre istemsizce yaplmaya ba³lanmakta ve ki³ilere göre farkllk gösterebilmektedir. Bu dü³ünceden hareketle, çal³mada kullanclar web sayfalar üzerinde gerçekle³tirdikleri sayfa navigasyonu, mouse hareketi ve tklama gibi aksiyonlara göre modelleyen ve bu modellerden  anor- mal oturum tespiti yapan bir uygulama çats sunulmaktadr. Anahtar Kelimeler: Anomali alglama, Saas, N-Gram, Web çerçeveleri 1 Giri³ Kas hafzas di§er bir deyi³le motor ö§renme, tekrarlanan hareketler sonucu elde edilen ve bir i³in dü³ünmeksizin minimum dikkat ve maksimum verimlilik ile yaplabilmesini sa§layan hafza biçimidir. Bisiklete binmek, enstrüman çalmak, klavye ve mouse kullanmak kas hafzas ile gerçekle³tirilir [1] . nsanlarn kendi al³kanlklarna göre ³ekillenen kas hafzas, kimlikler hakknda da bilgi verebilir. Örne§in mouse kullanan bir ki³i istemsizce ekrandaki satrlar mouse i³aretçisi ile izleyip tklayabilir veya bir ba³kas yine istemsizce desenler çizebilir. E§er i³aretçinin izledi§i yollarn veya tklanan alanlarn birer modeli çkarlabilirse, ki³iler de ayrt edilebilir [3]. Bu dü³ünceden ilham alarak bu çal³mamzda; SAAS uygulamalar için kul- lanclarn gerçekle³tirdi§i istemli veya istemsiz aksiyonlarn (tklamalar, sayfa geçi³leri ve mouse hareketleri) kullanclara özgü modellerini çkartan ve bu mod- ellere göre anormal oturum tespiti yapan bir uygulama çats sunmaktayz. Bu çatda, kullanc aksiyon dizileri, metin kar³la³trmada ve DNA e³le³tirmede sklkla kullanlan N-Gram [2, 4] yöntemi ile temsil edilmektedir. Elde edilen N- Gram'larn, Jackard ve Cosine distance [5] yöntemleri ile geçmi³te gerçekle³en aksiyon N-Gram'larna olan benzerli§i hesaplanmakta ve sonuçlara göre Nor- mal veya Anormal kullanm ³eklinde kararlar üretilmektedir. 160 Bildirinin devam ³u bölümlerden olu³maktadr. Bir sonraki bölümde anomali alglama üzerine yaplan önceki çal³malar anlatlmakta ve bu çal³ma ile kar³la³- trlmaktadr. Kullanc modelleme ve anomali alglamann detaylar hakknda Yöntem ba³l§ altnda detayl bilgi verilmekte, uygulama çats ise sistem tasar- m bölümü altnda anlatlmaktadr. Yaplan deneyler sonucu elde edilen bilgiler ve parametrelerin sistem performansna etkileri srasyla Deneysel Sonuçlar ve Sistem Parametreleri ba³lklarnda incelenmektedir. 2 Önceki Çal³malar Literatürde bir çok çal³ma anomali alglama yöntemleri üzerine yo§unla³m³tr. Bu çal³malardan bazlar a§ paketleri üzerinden saldr tespiti yaparken, bazlar da; web uygulamalar üzerindeki kullanc davran³larndan yararlanarak anor- mal durum alglamas yapar. Zhang ve arkada³lar yaptklar ara³trmada [11], a§ üzerindeki anormal durum tespit yöntemlerini; istatistiksel, snandrc tabanl, makine ö§renmesi tabanl ve sonlu durum makinesi tabanl olarak 4 gruba ayr- maktadr. Kullanc davran³lar, kullanclarn kimlikleri hakknda bilgi verdi§i için web uygulamalar üzerinden yaplan anormal durum tespitinin temelini olu³turmaktadr. Velásquez'n yapt§ çal³mada [8], web içeri§i üzerindeki navi- gasyon dizileri, her bir sayfada geçirilen süre gibi bilgiler incelenerek kullanclar gruplanmakta ve davran³lar analiz edilmektedir. Cadez ve arkada³larnn çal³- masnda [6] msnbc.com'dan alnan web sayfas navigasyon dizileri önceki çal³- maya benzer ³ekilde kullanc gruplar ortaya çkarmak için kullanlm³tr. Navigasyon dizileri d³nda, DOM (Document Object Model) nesnelerinin yerle³imi, ba§lantlarn ³ekli gibi web sayfalarnn yapsal özellikleri de anor- mal durumlarn tespitinde kullanlabilecek özelliklerdendir. Pan'n çal³masnda [9] web sayfalarnn yapsal özelliklerinden özentilikler çkarlmakta ve destek vektör makineleri kullanlarak, sahtecilik (phishing) amacyla yaratlan web say- falarnn tespiti sa§lanmaktadr. Birim zamanda yaplan istek saylarnn çok yüksek oldu§u, ayn zamanda saldrya da çok açk olan SAAS ortamlar için anormal durum ve saldr tespiti ayr bir önem ta³r. Nascimento ve Correia'nn ara³trmasnda [10], saldr tespitinde kullanlan modeller gerçek bir SAAS uygu- lamas üzerinde test edilmekte ve kar³la³lan zorluklar incelenmektedir. Kul- lanc davran³larn saldr tespitinde kullanan ilk ara³trmalardan biri olan Xie ve Yu'nun çal³masnda [7], uygulama katman temelli da§tk servis reddi (application-layer-based DDoS) saldrlarn erken tespiti için bir sakl yar Markov modeli (H-sMM) tasarm önerilmektedir. Anlatlan çal³malarda kullanc davran³lar, genel saldr tespiti ve kullanc proli belirleme için kullanlmakta olup bir yazlm çats önerilmemektedir. Biz bu çal³mamzda di§erlerinden farkl olarak; kullanc davran³larndan, hesap ³ifrelerinin ele geçirilmesi gibi yetkisiz kullanmlar belirlenmesi için yararlan- makta ve bir anomali alglama çats önermekteyiz. 161 3 Yöntem Anomali alglama sistemi; sunucu tarafnda anomali alglama motoru ve istemci tarafnda Javascript kütüphanesi olmak üzere iki ana bile³enden olu³maktadr. Aktif kullancnn, web sayfalar üzerindeki mouse hareket davran³lar Javascript kütüphanesi tarafndan toplanr ve bir aksiyon iste§i gerçekle³ti§inde, örne§in kullanc ba³ka bir sayfaya geçmek istedi§inde, toplanan mouse hareket bilgileri ile birlikte aksiyon tipi sunucu tarafnda çal³an anomali alglama motoruna gön- derilir. Burada kullancnn aktif oturumundaki davran³lar önceki oturumlar ile kar³la³trlarak, normal veya anormal durum ³eklinde bir karar üretilir. Aktif oturum bilgisi, kullancnn her yeni aksiyonunda güncellenmektedir. Buna göre ilgili oturum için anomali kontrolü, sunucu tarafnda belirli zaman aralklarnda bir asenkron olarak gerçekle³tirilebilir. Bu ³ekilde periyodik asenkron kontroller ile sistem asl uygulamann cevap sürelerini etkilemeden anormal oturum kon- trolü yapabilir. Kullanc saysnn fazla oldu§u ortamlarda ise yatay ve dikey ölçekleme yöntemleri ile sistem performans iyile³tirilebilir. lerleyen bölümlerde anomali alglama sisteminin bile³enleri anlatlacaktr. 3.1 Anomali Alglama Motoru Sunucu tarafnda, gönderilen kullanc oturum bilgilerine göre, normal veya anor- mal oturum ³eklinde karar üreten sistemdir. Bunun için kullancnn oturum içerisindeki aksiyonlarnnn önceki oturumlar ile benzerli§inden yararlanmak- tadr. Aksiyon a kavram, kullancn web uygulamas üzerinde gösterdi§i bir davran³ (durum de§i³imini) ifade etmektedir ve kullanm yöntemine göre, iki web sayfas arasndaki geçi³e kar³lk gelebilece§i gibi, ayn web sayfas üzerindeki bir butona tklama gibi bir i³leme de kar³lk gelebilmektedir. Kullancnn oturum davran³larnn tanmlanmasnda, her bir durumdaki mouse hareket deseni d bilgisi de aksiyon bilgisine eklenmektedir. Bir matris d ile gösterilen mouse hareket deseni, istemli mouse hareketlerini içerdi§i gibi, ki³iyi tanmlamada faydal olabilecek, kas hafzas kullanlarak yaplan istemsiz hareketleri de içermektedir. Desen matrisin her bir hücresi mouse i³aretçisinin, ekrann ilgili bölgesine kaç kere geldi§ini belirtmektedir. Desen matrisinin olu³tu- rulma detaylar ilerleyen bölümde anlatlacaktr. Aksiyonlar bir araya gelerek aksiyon dizilerini A yani oturumlar meydana getirirler. Aktif oturum önceki oturumlar ile kar³la³trlrken, aktif oturumun aksiyon dizileri N-Gram yöntemi ile küçük gruplara ayrlmakta ardndan önceki oturumlarn aksiyon N-Gram'lar ile kar³la³trlmaktadr. Durum geçi³ bilgisi ayn olan iki farkl aksiyon veya aksiyon grubu, mouse hareket desenine baklmak- szn E³ olarak kabul edilmi³tir. E³le³en aksiyon N-Gram'lar saylarak, Jackard Distance yöntemi ile oturumlar arasnda benzerlikler hesaplanmakta ve bu benz- erliklerin ortalamas alnmaktadr. Elde edilen ortalama, kar³la³trlan oturumun önceki oturumlar ile arasndaki aksiyon davran³larnn benzerli§ini vermektedir. Örnek aksiyon dizileri: 162 A1 = {aa−b , ab−c , ac−g , ag−k , ak−t , at−b } A2 = {aa−b , ab−c , ac−a , aa−k , ak−t , at−b } Aksiyon dizileri için 2'li N-Gram'lar: A1 = {{aa−b , ab−c }, {ab−c , ac−g }, {ac−g , ag−k }, {ag−k , ak−t }, {ak−t , at−b }} A2 = {{aa−b , ab−c }, {ab−c , ac−a }, {ac−a , aa−k }, {aa−k , ak−t }, {ak−t , at−b }} E³le³en 2'li N-Gram'lar: {aa−b , ab−c }, {ak−t , at−b } Jackard Distance: (2 / 5) mouse hareket desenlerinden alnan bilgilere göre sonuçlar iyile³tirmek için, e³le³en aksiyonlarn desen matrisleri vektörel hale getirilip, Cosine distance yönte- mi ile benzerlikleri hesaplanmaktadr. Ardndan yine bu benzerliklerin ortala- mas alnmaktadr. Elde edilen ortalama, kar³la³trlan oturumun önceki otu- rumlar ile e³ kabul edilen aksiyonlarnn bireysel benzerli§ini vermektedir. Oturum benzerlik skoru: 1 α ∗ β + (1 − α) ∗ γ α = Aksiyon Dizi Benzerli§i / Mouse Hareket Benzeri§i A§rl§ β = N-Gram Jackard Distance Ortalamas γ = Mouse Desen Matrisleri için Cosine Distance Ortalamas Benzerlik skoru belirli bir e³ik de§erin altnda olan oturumlar, anormal olarak kabul edilir. Skor üretiminde, aksiyon geçi³lerine mi, yoksa aksiyonlarnn birey- sel benzerli§ine mi daha çok a§rlk verilece§i Alpha parametresi ile belirlen- mektedir. Bunun sayesinde sistem uygulamaya özgü ³ekilde ayarlanabilmektedir. Örne§in; aksiyon saysnn az olup, tekil sayfa aktivitesinin daha önemli oldu§u uygulamalarda Alpha de§eri 0'a yakn tutulmaldr. Oturum kar³la³trmalar yaplrken eskiyen kullanc al³kanlklarndan etkilenmemek için, kullancnn yalnzca en yeni K adet oturumu kullanlmaktadr. Karar üretim süreci “ekil - 1 `de anlatlmaktadr. 163 “ekil - 1: Anomali alglama sistemi. 3.2 Javascript Kütüphanesi stemci tarafnda çal³arak, kullancnn aksiyon isteklerini, anomali alglama motoruna bildiren ve her aksiyon için t birim sürede bir mouse hareket koor- dinatlarn kaydeden sistemdir. Bu koordinatlardan sunucu tarafnda d matrisi ile gösterilen mouse hareket deseni hesaplanr. r ve c matrisin satr ve sütun saylar olacak ³ekilde, tarayc ekran yatayda r, dikeyde de (c hücreye bölün- mü³ kabul edilerek, kaydedilmi³ olan mouse i³aretçi konumlarna kar³lk gelen matris hücrelerinin de§eri bir arttrlr. Sonuçta matrisin her bir hücresi, mouse i³aretçisinin ekrann ilgili bölgesine kaç kere geldi§ini göstermektedir. Bu i³lemin detaylar, Algoritma - 1'de yer almaktadr. Kullanc tarafndan bir aksiyon is- te§i oldu§unda matrisin son hali aksiyon bilgisi ile birlikte anomali alglama motoruna gönderilir. Matrislerin kar³la³trlmas srasnda uç de§erlerin e§ilim 164 yaratmamas için minimum ve maksimum de§erlere göre normalizasyon yapl- maktadr. Örnek bir ekran ve mouse desen matrisi “ekil 2.a ve 2.b'de görülebilir. Algoritma 1 JsActionCapturer 1: xSeperation = getScreenXSize()/c 2: ySeperation = getScreenYSize()/r 3: d ⇐ c by r zero matrix 4: for each time t do 5: x = getMouseXCoord() 6: y = getMouseYCoord() 7: for i = 0 to c − 1 do 8: if i==0 then 9: xP os = 0 10: else 11: xP os = x/(i ∗ xSeperation) 12: end if 13: for j = 0 to r − 1 do 14: if j==0 then 15: yP os = 0 16: else 17: yP os = y/(j ∗ ySeperation) 18: end if 19: d[xP os][yP os] = d[xP os][yP os] + 1 20: end for 21: end for 22: end for 4 Sistem Tasarm Sunucu tarafnda çal³an anomali alglama motoru, .Net C# kullanlarak geli³ti- rilmi³tir ve a³a§daki snardan olu³maktadr. - User - MouseMoveTrace - Action - ActionSequence - AnomalyDetectorSession - AnomalyDetector - AnomalyDetectorHttpHandler - Utils Bu snara ait snf diyagramlar “ekil - 3 `de görülebilir. User : Sistemde her kullancya ait tanmlayc bilgileri tutan snftr. Tanmla- yc olarak UserName (kullanc ad) kullanlmaktadr. User nesneleri, User- Name de§erlerine baklarak kar³la³trlmaktadr bunun için; .Net ile birlikte ge- 165 “ekil - 2: Örnek ekran ve mouse desen matrisi. (a) Örnek ekran (b) mouse desen matrisi len ön tanml IEquatable arayüzü uygulanm³ ve Equals yordam içerisinde UserName kar³la³trmas yaplm³tr. MouseMoveTrace : Javascript Kütüphanesi tarafndan gönderilen mouse hare- ket koordinatlarnn tutuldu§u snftr. Action : Kullancnn web uygulamas üzerinde gerçekle³tirdi§i bir operasy- onu bir durum de§i³imi olarak belirtir ve ilk durumdaki mouse hareket desenini üzerinde barndrr. Nesne kar³la³trmalarnda kullanmak üzere, .Net ile bir- likte gelen ön tanml IEquatable arayüzü uygulanm³ ve Equals yordam içerisinde State1 ve State2 `ye göre kar³la³trma yaplm³tr. ActionSequence : Kullancnn bir oturum içerisinde gerçekle³tirdi§i aksiyon dizilerini tutar. AnomalyDetectorSession : ActionSequence snfndan türetilen snf, kul- lancnn bir oturumunu temsil eder, aksiyon dizileri ile birlikte kullancy tanm- layan bilgileri de içerisinde barndrr. AnomalyDetectorHttpHandler : Javascript kütüphanesi tarafndan XhrPost- lar ile Json formatnda gönderilen aksiyon isteklerini i³leyerek aktif oturumun aksiyon dizilerine ekleyen snftr. .Net'in IHttpHandler arayüzünden türetilmi³tir. Utils : Jackard ve Cosine Distance'larn hesaplanmas, mouse koordinatlarn- dan desen matrislerin yaratlmas ve aksiyon N-Gram'larnn olu³turulmas gibi ortak olarak kullanlan temel i³levleri sa§layan snftr. AnomalyDetector : Sistemin temel bile³enidir, Singleton tasarm deseni kul- lanlarak geli³tirilen snf; sistem parametreleri ile birlikte çe³itli public yor- 166 “ekil - 3: Anomali alglama motoru snf diagram. damlar barndrr; Javascript kütüphanesi AnomalyDetectorJsLib tipinde bir snf olarak tasar- lanm³tr. Web uygulamasnda anomali analizine dahil edilmek istenen her Ak- siyon (ba§lantya tklama veya bir Javascript fonksiyonu ça§rma), AnomalyDe- tectorJsLib'in bir nesnesinin DoAction fonksiyonu üzerinden ça§rlmaldr. Bu fonksiyon bir sonraki aksiyonun Id `si ile birlikte aksiyon içeri§ini parametrik olarak alr, aksiyon bilgisini Json formatnda XhrPost olarak sunucu tarafna gönderir ve aksiyonun kendisini gerçekle³tirir. AnomalyDetectorJsLib nesneleri ayn zamanda, belirtilen zaman aral§nda bir kullancnn mouse hareket koordi- natlarn bir liste olarak kaydeder. Bu koordinatlar her aksiyon iste§inde aksiyon bilgisi ile birlikte sunucuya gönderilir. 5 Deneysel Sonuçlar Anomali alglama sisteminin verimlili§i, uygun bir gerçek veri seti bulunamad- §ndan, yapay kullanclar ve kullanc davran³larn içeren bir veri seti yaratlarak analiz edilmi³tir. Bunun için rastgele tekdüze da§l³ kullanlarak; - 20 farkl aksiyon ismi tanmlanm³tr. - Aksiyonlar aras geçi³ olaslklarn içeren 20x20'lik 10 farkl matris tanm- lanm³tr. Buradaki her matris farkl birer kullanc proline kar³lk gelmektedir. - Her kullanc için minimum 15 maksimum 20 adet oturum yaratlm³tr. 167 - Her bir oturumda ilgili kullancnn geçi³ olaslklar matrisi kullanlarak yaratlan minimum 8, maksimum 10 aksiyon yer almaktadr. Yaratlan veri seti kullanc oturum listesine eklendikten sonra, test için ayn geçi³ olaslklar matrisleri kullanlarak yeni oturumlar üretilmi³ ve bunlarn nor- mal oturum olarak gösterilip gösterilmedi§ine baklm³tr. Benzer ³ekilde farkl kullanclarn test oturumlar birbirleri ile de§i³tirilerek anormal oturumlarn al- glanp alglanmad§na da baklm³tr. Güvenilir test sonuçlar elde etmek için 100 farkl veri seti türetilip bunlarn do§ruluk sonuçlarnn ortalamas alnm³tr. Buna göre sistemin do§rulu§u %83.21 olarak görülmektedir. 6 Sistem Parametreleri Sistem 3 adet d³ parametreye sahiptir, bunlar; Anomali E³ik De§eri T , Ak- siyon geçi³i / Aksiyon benzerli§i orann belirleyen Alpha ve en son kaç otu- rum ile kar³la³trma yaplaca§n belirleyen K de§erleridir. 0 ile 1 aral§nda olan Anomali E³ik De§eri için dü³ük de§erler verildi§inde sistem tüm oturum- lar anormal olarak alglamaktadr, yüksek de§erlerde ise anormal oturum bulma oran dü³mektedir. Alpha parametresi sistemin çal³trlaca§ web uygulamasna göre belirlenmelidir, Alpha 1'e yakn iken sistem kullanc Aksiyonlarnn sralama benzerli§ine daha çok önem vermektedir, sfra yakla³t§nda ise aksiyonlardaki mouse hareket desenlerinin benzerli§i önem kazanr. ç parametre olarak kabul edilen N-Gram'lardaki N says 3 olarak alnm³tr, bu saynn üstünde elde edilebilecek N-Gram kombinasyonlar (aksiyon says)N ³eklinde artt§ için kar³la³trlmas gereken N-Gram saylar da artmaktadr. Daha dü³ük de§erlerde ise sistemin do§ru alglama oran dü³mektedir. Farkl parametre birle³imleri, 100 farkl set üzerinde test edilerek, yapay veri setleri için en iyi parametre yaplandrmas ³u ³ekilde belirlenmi³tir; Anomali E³ik De§eri T = 0,88 Alpha = 0,9 K = 10 Buna göre yapay veri setleri üzerinde kullanclarn mouse hareket davran³lar- nn iyi bir ³ekilde modellenemedi§i ve sistemin yüksek Alpha de§erlerinde ba³ka bir deyi³le aksiyonlarn dizi benzerli§ine önem veren yaplandrmada iyi çal³t§ görülmektedir. Gerçek bir sistemde en uygun parametre de§erlerini belirlemek için; bir süre oturum örneklemesi yaplarak farkl parametre kombinasyonlarnn ba³ar oranlar hesaplanabilir ve bunlar üzerinde optimizasyon yaplabilir. Parametrelerin farkl de§erlerine göre elde edilen do§ru alglama oranlar “ekil - 4 'de görülmektedir. “ekil - 4.a 'ya göre Alpha de§erindeki art³a ba§l olarak do§ru alglama oran artmaktadr. Alpha de§erinin artmas navigasyon benzeri§inin katksn arttrd§ için, test veri setinde navigasyon benzerliklerinin daha belirleyici oldu§u söylenebilir. “ekil - 4.b 'de kar³la³trlacak oturum saysn belirleyen K de§erinin artmas do§rululuk orann arttrsa da etkisinin dü³ük oldu§u görülmektedir. “ekil - 4.c 'de ise e³ik de§erindeki art³n sonuçlar iy- ile³tirdi§i söylenebilir fakat 0.88 de§erinden sonra sonuçlar sabit kalmaktadr. Bu testler için, analiz edilen parametre d³ndaki parametrelerde belirtilmi³ olan optimum de§erleri kullanlm³tr. Anomali E³ik De§eri T dü³ük iken, sistem tüm 168 oturumlar anormal olarak kabul etmekte ve ba³ar oran dü³mektedir, benzer ³ekilde yüksek de§erde ise tüm oturumlar normal olarak etiketlenmektedir. Al- pha'nn dü³ük de§erlerinde sistem ba³arsnn oldukça dü³tü§ü gözlenmektedir, bunun sebebi; yapay veri setinin mouse hareket desenleri açsndan daha dü³ük ayrt edilebilirli§e sahip olmasdr. Kar³la³trmalarda kullanlacak olan oturum saysn belirleyen K parametresinin de§i³imi sistem ba³arsn kayda de§er ³ek- ilde etkilememi³ gibi görünse de, bu parametre gerçek veride zaman içinde de§i³e- bilecek kullanc davran³larn yakalamak açsndan faydal olacaktr. Örne§in bir SAAS kullancs zaman içerisinde farkl sayfa navigasyon davran³lar veya farkl mouse hareket al³kanlklar geli³tirebilir, buna göre sistemin kullancnn son oturumlarn göz önüne alarak anomali skorlar üretmesi, do§rulu§u arttra- caktr. 7 Sonuç Bu çal³mada kullanclarn SAAS uygulamalar üzerinde yaptklar sayfa navi- gasyonu, tklama ve mouse hareketi gibi aksiyonlara göre kendilerine özgü kul- lanm modellerini çkaran ve bu modelleri, Anormal oturum tespitinde kul- lanan bir uygulama çats sunulmu³tur. Sayfalar üzerinde ve sayfalar arasnda gerçekle³tirilen tüm aksiyonlar N-Gram'lar ile modellenmekte ve önceki aksiy- onlar ile kar³la³trlmaktadr. Bunun yannda mouse hareketleri de matrisler ile temsil edilmekte ve aksiyon bilgileri e³le³en N-Gram kar³la³trma sonuçlar, matris benzerlikleri ile daha da iyile³tirilmektedir. Çal³ma özellikle SAAS or- tamlarnda kullanc ³ifrelerinin 3. “ahslar tarafndan ele geçirilmesi durumunda, sistem kullanm al³kanlklarna göre Anormal oturumlarn alglanmas ve son- landrlmas için önemlidir. Sistemi test etmek için rasgele tekdüze da§l³ ile ya- pay kullanc oturumlar veri-seti üretilmi³ ve sistemin %83'ün üzerinde ba³ar üretmekte oldu§u gözlenmi³tir. 169 “ekil - 4: Parametre Analizi (a) Alpha / Sistem Ba³ar Oran (b) K / Sistem Ba³ar Oran (c) E³ik De§eri T / Sistem Ba³ar Oran 170 11 Kaynaklar 1. Krakauer, J.W., Shadmehr, R.: Consolidation of Motor Memory. Trends in Neuro- sciences. 29, 5864 (2006) 2. William B. Cavnar and John M. Trenkle: N-Gram-Based Text Categorization. In Proceedings of SDAIR-94, 3rd Annual Symposium on Document Analysis and In- formation Retrieval, pp. 161175. (1994) 3. William B. Cavnar and John M. Trenkle: Prediction of Human Behaviors in the Future Through Symbolic Inference. International Conference on Robotics and Au- tomation (ICRA), pp. 19701970. IEEE, Shanghai (2011) 4. Andrija Tomović, Predrag Janičić, Vlado KeÅ¡elj: N-Gram-based Classi- cation and Unsupervised Hierarchical Clustering of Genome Sequences. Computer Methods and Programs in Biomedicine, vol. 81, pp. 137153. (2006) 5. Singhal, Amit: Modern Information Retrieval: A Brief Overview. Bulletin of the IEEE Computer Society Technical Committee on Data Engineering , vol. 24, pp. 3543. (2001) 6. I. Cadez, D. Heckerman, C. Meek, P. Smyth and S. White: Visualization of Naviga- tion Patterns on a Web Site Using Model-based Clustering. Knowledge Discovery and Data Mining , pp. 280. (2000) 7. Y. Xie and Shun-Zheng Yu: A Large-Scale Hidden Semi-Markov Model for Anomaly Detection on User Browsing Behaviors. IEEE/ACM Transactions on Networking , vol. 17, pp. 5465. (2009) 8. J. Velásquez, H. Yasuda, and T. Aoki: Combining the Web Content and Usage Mining to Understand the Visitor Behavior in a Web Site. In Proceedings of 3rd IEEE International Conference on Data Mining, pp. 669672. (2003) 9. Y. Pan, X. Ding: Anomaly Based Web Phishing Page Detection. In Proceedings of 22nd Computer Security Applications Conference, pp. 381392. (2006) 10. G. Nascimento, M. Correia: Anomaly-based Intrusion Detection in Software as a Service. In Proceedings of the IEEE/IFIP 41st International Conference on Depend- able Systems and Networks Workshops, pp. 1924. (2011) 11. W. Zhang, Q. Yang, Y. Geng: A Survey of Anomaly Detection Methods in Net- works. In Proceedings of the International Symposium on Computer Network and Multimedia Technology, pp. 13. (2009) 171