A new type of attack is called Advanced Persistent Threat gradually began to gain more ground in the cyberspace, which is becoming a major threat to especially critical infrastructure, large companies, telecom operators and public authorities. The APT attack that is different from the traditional attack has been goal-oriented and working continuously and confidentially. Therefore, the APT attacks detection is more difficult than the traditional intrusion detection. This thesis offers comprehensive research on advanced persistent threats. Researches show that signature-based security systems using existing particular database are not sufficient to detect the APT attacks. In this study, the APT example was prepared with the idea of having absolute difference in the network flow of systems which were attacked by the APT. The attack was planned with this APT example to a victim system in virtual reality. The network traffic flow information was gathered from victim system and the non-infected APT system which has the same environment and the same behaviour with the the victim system. The obtained data were classified for determining anomalie motion occurring on the network using various algorithms to the data mining method. The C4.5 decision tree is obtained with 83% success in the classification algorithm performed in the algorithms used. This study presenting data mining methods for the detection of Advanced Persistent Threat attacks may be an effective alternative to new security approach.

Siber dünyada giderek daha fazla yer edinmeye başlayan yeni bir saldırı türü olan Gelişmiş Israrcı Tehdit (GIT) saldırıları özellikle kritik altyapılara, büyük şirketlere, telekom operatörlerine ve kamu kurumlarına karşı büyük bir tehdit haline gelmektedir. Geleneksel saldırılardan farklı olan GIT saldırıları hedef odaklı olarak, sürekli ve gizli şekilde çalışmaktadır. Bu nedenle GIT saldırılarının tespit edilmesi geleneksel saldırıların tespit edilmesine göre daha zordur. Bu tez çalışması, GIT hakkında kapsamlı bir araştırma sunmaktadır. Yapılan araştırmalarda mevcut belirli bir veritabanı kullanan imza tabanlı güvenlik sistemlerinin GIT saldırıları tespiti için yeterli olmadığı gözlemlenmiştir. Bu çalışmada, GIT saldırısına uğramış sistemlerin ağ akışlarında mutlak bir farklılık olacağı düşüncesi ile bir GIT örneği oluşturulmuştur. Sanal bir ortamda kurban sistem belirlenmiş ve örnek GIT saldırısı düzenlenmiştir. Aynı ortama ve davranışlara sahip GIT örneği uygulanmamış sistem ile kurban sistemin ağ akış trafik bilgileri toplanmıştır. Ağda meydana gelen anomali hareketlerinin belirlenmesi için, elde edilen veriler veri madenciliği yöntemlerinden çeşitli algoritmalar kullanılarak sınıflandırılmıştır. Kullanılan algoritmalar içerisinden C4.5 karar ağacı algoritması ile yapılan sınıflandırmada %83 oranında başarı elde edilmiştir. Bu çalışmada uygulanan veri madenciliği yöntemleri ile Gelişmiş Israrcı Tehdit saldırılarının tespitinde etkili olabilecek yeni bir alternatif güvenlik yaklaşımı sunulmuştur.