E-posta kimlik avı tespiti için açıklanabilir yapay zeka (xai) yöntemleri

Abstract

Bu çalışmada, kimlik avı (phishing) e-postalarının tespiti için açıklanabilir yapay zeka (XAI) entegreli derin öğrenme yaklaşımları geliştirilmiştir. Enron ve Nazario veri setlerinden oluşturulan 63.169 e-postalık dengeli bir veri seti üzerinde CNN, LSTM, BERT ve RoBERTa modelleri eğitilmiştir. Çalışmanın özgün katkısı olarak, "Sert Parametre Paylaşımı" (Hard Parameter Sharing) prensibine dayalı, paylaşımlı bir Bidirectional LSTM gövdesi üzerinden çalışan yenilikçi bir Multi-Task Learning mimarisi önerilmiştir. Bu mimari, oltalama tespitinin yanı sıra, alan uzmanı bilgisiyle geliştirilen kural tabanlı bir algoritma aracılığıyla tehdit seviyesi, saldırı türü ve içerik kategorisi olmak üzere dört farklı analizi eş zamanlı olarak gerçekleştirmektedir. Deneysel sonuçlar, BERT modelinin %99,48 doğruluk oranı ile en yüksek ikili sınıflandırma performansını sergilediğini; Multi-Task Learning modelinin ise ana görevde %96,4 doğruluk oranına ulaşarak Güvenlik Operasyon Merkezleri (SOC) için kritik bir operasyonel istihbarat kapasitesi sunduğunu göstermiştir. SHAP, LIME ve Attention analizleri ile model kararları şeffaflaştırılmış; "http", "verify" ve "urgent" gibi anahtar kelimelerin phishing tespitindeki kritik rolü ve modeller arasındaki anlamsal bilgi transferi gösterilmiştir. Bu çalışma, yüksek doğruluklu phishing tespitini çok boyutlu tehdit analizi ve açıklanabilirlik ile birleştiren kapsamlı bir çerçeve sunmaktadır.

In this study, deep learning approaches integrated with explainable artificial intelligence (XAI) have been developed for the detection of phishing emails. CNN, LSTM, BERT, and RoBERTa models were trained on a balanced dataset of 63,169 emails constructed from the Enron and Nazario datasets. As the original contribution of the study, an innovative Multi-Task Learning architecture based on the "Hard Parameter Sharing" principle, operating through a shared Bidirectional LSTM backbone, is proposed. In addition to phishing detection, this architecture simultaneously performs four different analyses—threat level, attack type, and content category—through a rule-based algorithm developed using domain expert knowledge. Experimental results show that the BERT model exhibited the highest binary classification performance with an accuracy rate of 99.48%, while the Multi-Task Learning model achieved an accuracy rate of 96.4% on the main task, offering a critical operational intelligence capacity for Security Operations Centers (SOCs). Model decisions were made transparent through SHAP, LIME, and Attention analyses, demonstrating the critical role of keywords such as "http," "verify," and "urgent" in phishing detection, as well as the semantic knowledge transfer between models. This study presents a comprehensive framework that combines high-accuracy phishing detection with multidimensional threat analysis and explainability.