Açıklanabilir yapay zekâ ile ağ saldırı tespitinin iyileştirilmesi: Denetimsiz ve öz-denetimli öğrenme yaklaşımları

Abstract

Günümüzde, ağ trafiği anormalliklerini tespit eden Saldırı Tespit Sistemleri (IDS) kritik önem taşımaktadır. Derin öğrenme tabanlı IDS modellerinin yüksek doğruluk performansına karşın "kara kutu" niteliği taşıması; güvenilirlik, hesap verebilirlik açısından ciddi sorun oluşturmaktadır. Bu tez, denetimsiz ve öz-denetimli öğrenme yaklaşımlarını Açıklanabilir Yapay Zekâ (XAI) teknikleriyle bütünleştiren karşılaştırmalı bir çerçeve sunmaktadır. Çalışma üç paradigma altında ele alınmıştır: sınır tabanlı modeller (Isolation Forest, One-Class SVM), yeniden yapılandırma tabanlı modeller (Autoencoder, Masked Packet Modeling) ve temsil öğrenme tabanlı öz-denetimli modeller (Contrastive Learning, LSTM tabanlı Sequence Prediction). Modellerin performansı, KDDTest+ ve CICIDS2017 veri setleri üzerinde doğruluk, kesinlik, duyarlılık, F1-skoru ve AUC-ROC metrikleriyle değerlendirilmiştir. Model kararlarının yorumlanabilirliği küresel düzeyde SHAP ve yerel düzeyde LIME yöntemleriyle analiz edilmiştir. Deneysel bulgular, öz-denetimli ve derin öğrenme tabanlı yaklaşımların Isolation Forest ve One-Class SVM gibi klasik yöntemlere kıyasla üstün performans sergilediğini ortaya koymaktadır. KDDTest+ veri setinde en yüksek AUC değerleri Masked Packet Modeling (0,9654) ve Sequence Prediction (0,9290) modellerinde elde edilirken, CICIDS2017 veri setinde önerilen Contrastive Learning + LSTM hibrit mimarisi 0,9813 AUC değeriyle modeller arasında en dengeli ve yüksek performansı sergilemiştir. XAI analizleri, farklı saldırı türlerinde modellerin ayrışan öznitelik önceliklerine sahip olduğunu; zamansal metriklerin, hacimsel göstergelerin anomali tespitinde belirleyici olduğunu göstermiştir. Sonuçta bu tez, etiketli veri bağımlılığını azaltan denetimsiz ve öz-denetimli öğrenme yöntemlerinin, XAI teknikleriyle birleştirildiğinde hem yüksek tespit başarısı hem de şeffaf karar mekanizmaları sunabildiğini deneysel olarak ortaya koymaktadır. Sonuçlar, gerçek zamanlı ve kaynak kısıtlı sistemlerde model seçiminin yalnızca doğruluk kriterlerine değil, aynı zamanda hesaplama maliyeti ve açıklanabilirlik boyutlarına da göre yapılması gerektiğine işaret etmektedir.In the contemporary landscape, Intrusion Detection Systems (IDS) are critical for identifying network traffic anomalies. While deep learning-based IDS models achieve high accuracy, their "black-box" nature poses significant challenges regarding reliability and accountability. This thesis presents a comparative framework integrating unsupervised and self-supervised learning approaches with Explainable Artificial Intelligence (XAI) techniques. The study explores three paradigms: boundary-based models (Isolation Forest, One-Class SVM), reconstruction-based models (Autoencoder, Masked Packet Modeling), and representation learning-based self-supervised models (Contrastive Learning, LSTM-based Sequence Prediction). Performance is evaluated on KDDTest+ and CICIDS2017 datasets using accuracy, precision, recall, F1-score, and AUC-ROC metrics. Model interpretability is analyzed globally using SHAP and locally using LIME. Experimental results demonstrate that self-supervised and deep learning-based approaches outperform classical methods. In the KDDTest+ dataset, the highest AUC values were achieved by Masked Packet Modeling (0.9654) and Sequence Prediction (0.9290). In the CICIDS2017 dataset, the proposed Contrastive Learning + LSTM hybrid architecture exhibited the most balanced and highest performance with an AUC of 0.9813. XAI analyses reveal that models utilize distinct feature priorities across different attack types, identifying temporal and volumetric metrics as primary determinants in anomaly detection. Ultimately, this thesis experimentally demonstrates that combining unsupervised and self-supervised learning which reduces dependency on labeled data with XAI techniques provides both high detection success and transparent decision-making. The findings suggest that for real-time and resource-constrained systems, model selection must account for computational cost and explainability alongside detection accuracy.