Giriş

Mobil cihazlar, günümüzde bireysel ve kurumsal yaşamın ayrılmaz bir parçasıdır. Bankacılık işlemlerinden kurumsal iletişime, kişisel verilerin saklanmasından kritik altyapılara erişime kadar geniş bir kullanım alanına sahiptir. Bu kadar büyük bir ekosistemin cazibesi, doğal olarak siber saldırganların ilgisini çeker. Geleneksel imza tabanlı antivirüsler, hızla değişen kötü amaçlı yazılımların (malware) çeşitliliği karşısında etkisiz kalmaya başlamıştır. İşte tam bu noktada makine öğrenimi (ML), mobil güvenlik için umut vadeden bir çözüm olarak öne çıkmaktadır.

Fakat paradoks şudur: Makine öğrenimi hem güçlü bir savunma mekanizmasıdır hem de kendi zayıflıkları nedeniyle yeni saldırı vektörleri yaratmaktadır. Yani saldırganlar yalnızca mobil cihazları değil, onları korumak için kullanılan ML modellerini de hedef almaktadır.

Mobil Tehditlerin Evrimi

1.1 Geleneksel Yaklaşımlar

İmza Tabanlı Sistemler: Bir zararlının bilinen özelliklerine (ör. hash değeri, sabit kod parçası) dayanır. Ancak polimorfik ve obfuscation kullanan malware’ler bu yöntemi kolayca aşar.
Kural Tabanlı Sistemler: Cihazın belirli davranışlarını (izin ihlalleri, olağandışı ağ trafiği) yakalamaya çalışır. Ancak “önceden tanımlanmış” kuralların dışında kalan yeni saldırılar gözden kaçar.

1.2 Modern Tehditler

Bankacılık Trojan’ları (Anubis, Cerberus): Kullanıcıdan yetkiler çalar, ekran üstü katman (overlay) saldırılarıyla şifreleri toplar.
Spyware’ler: Kamera, mikrofon ve konum verilerini sessizce toplar.
Ransomware: Dosyaları şifreleyip fidye talep eder.
Fileless Malware: Bellekte çalışır, geleneksel antivirüs tarafından tespit edilmesi çok zordur.

Bu çeşitlilik, yalnızca statik imza kontrolüyle güvenliğin sürdürülemeyeceğini açıkça göstermektedir.

Makine Öğrenimi ile Tehdit Tespiti

Makine öğrenimi, imza tabanlı yöntemlerin eksik kaldığı yerde devreye girer. Sistem; uygulama izinleri, API çağrıları, ağ trafiği, sensör verileri gibi yüzlerce farklı özelliği analiz ederek normal davranış ile anormal davranış arasındaki farkı öğrenir.

2.1 Özellik Çıkarma

Statik Analiz: APK dosyalarının içinden alınan izinler, manifest bilgileri, kullanılan kütüphaneler.
Dinamik Analiz: Uygulamanın çalışırken yarattığı sistem çağrıları, ağ trafiği, bellek kullanımı.
Hibrit Yaklaşım: Statik + dinamik özelliklerin birleşimi, daha yüksek doğruluk sağlar.

2.2 Kullanılan Algoritmalar

Karar Ağaçları & Random Forest: Özellikler arasındaki ilişkileri hızlıca öğrenir, anlaşılır sonuçlar üretir.
Destek Vektör Makineleri (SVM): Anormal davranışların ayrıştırılmasında güçlüdür.
Derin Öğrenme (CNN, RNN, LSTM): Karmaşık davranış paternlerini yakalayabilir, fakat yüksek veri ve işlem gücü gerektirir.
Kümeleme (Clustering): Önceden etiketlenmemiş verilerden yeni saldırı türlerinin ortaya çıkarılmasını sağlar.

2.3 Veri Setleri

DREBIN-215: Android için en bilinen veri setlerinden biridir, farklı zararlı yazılım ailelerini içerir.
AndroZoo, CIC-MalDroid: Akademik çalışmalarda sıklıkla kullanılan geniş ölçekli veri tabanlarıdır.

Makine Öğreniminin Kendi Zafiyetleri

İronik biçimde, ML sistemleri de saldırganların hedefidir. Savunma sistemine güvenmek kadar onun zaaflarını anlamak da önemlidir.

3.1 Adversarial Saldırılar

Saldırgan, modele özel olarak tasarlanmış küçük manipülasyonlar uygular. Örneğin:

APK içine zararsız görünen ama gizli işlevli bir kod enjekte edilir.
Ağ trafiğinde “normal” gibi görünen küçük değişikliklerle IDS (Intrusion Detection System) atlatılır.

Sonuç: Model yüksek doğruluk oranına rağmen yanlış sınıflandırma yapar.

3.2 Veri Zehirleme (Data Poisoning)

Eğitim setine kötü niyetli veriler eklenir. Bu durumda model yanlış kalıpları öğrenir ve saldırganın lehine çalışmaya başlar.

3.3 Model Hırsızlığı

Mobil uygulamalara gömülen ML modelleri genellikle şifrelenmez. Dinamik analiz veya tersine mühendislik ile bu modeller çalınabilir. Çalınan model, saldırganlara hem güvenlik mekanizmasının iç işleyişini gösterir hem de kara pazar değerine sahiptir.

3.4 Aşırı Karmaşıklık ve Kaynak Tüketimi

Derin öğrenme tabanlı çözümler yüksek doğruluk sağlasa da mobil cihazlarda pil, bellek ve işlemci tüketimini artırır. Bu durum gerçek zamanlı koruma için ciddi bir engeldir.

Savunma Stratejileri

4.1 Adversarial Dayanıklılık

Adversarial örneklerle eğitilmiş modeller (“adversarial training”).
Ensemble yöntemleri (birden fazla algoritmayı birlikte kullanmak).
Veri temizleme (data sanitization).

4.2 Davranışsal İzleme ve Anomali Tespiti

İmza tabanlı yaklaşımların aksine, cihazın olağan davranışını öğrenip sapmaları anında yakalar. Örneğin:

Aniden başlayan şüpheli ağ trafiği.
Olağandışı pil tüketimi.
Yetkisiz sistem çağrıları.

4.3 Güvenli Model Dağıtımı

Model dosyalarının şifrelenmesi.
Secure enclave veya TEE (Trusted Execution Environment) içinde çalıştırılması.
Model sorgularının sınırlandırılması (saldırganın model çıkarım saldırılarını önlemek için).

4.4 Hibrit Güvenlik Yaklaşımı

Makine öğrenimi tek başına yeterli değildir. Şu bileşenlerle entegre çalışmalıdır:

IDS/IPS sistemleri,
İnsan analistlerin manuel incelemeleri,
Sandbox analizleri,
Davranışsal imza güncellemeleri.

Eleştirel Değerlendirme

Şu noktayı net söylemek gerekir: Makine öğrenimi mobil güvenlikte mucize değildir. Evet, imza tabanlı yöntemlerin ötesine geçmek için gereklidir; ama kendi zaafları vardır. Literatürde birçok makale “%95 doğruluk”, “yüksek başarı” gibi iddialarda bulunur, fakat bu modellerin büyük kısmı laboratuvar ortamında test edilmiştir. Gerçek dünyada:

Veri setleri eksik veya eski olabilir.
Kullanıcı cihazlarındaki donanım kısıtlıdır.
Saldırganlar aktif olarak modele karşı strateji geliştirir.

Dolayısıyla akademik başarı oranları sahada çoğu zaman tutmaz. Mobil güvenlikte sürdürülebilir başarı, yalnızca teknik değil aynı zamanda operasyonel ve stratejik yaklaşımla mümkündür.

Sonuç

Makine öğrenimi, mobil cihaz güvenliğinde hem umut hem de risk barındıran bir teknolojidir. Doğru kullanıldığında gelişmiş tehditleri yakalayabilir, yanlış yapılandırıldığında ise yeni saldırı yüzeyleri açar.

Tehditler: Adversarial saldırılar, model hırsızlığı, veri zehirleme.
Savunmalar: Adversarial eğitim, ensemble modeller, güvenli dağıtım, davranışsal analiz.
Gerçek: ML, mobil güvenliği kurtarmaz; sadece daha sofistike hale getirir. Savunmanın başarısı, teknolojinin yanında insan faktörü ve operasyonel disiplinle mümkündür.

Mobil uygulama güvenliği ile ilgileniyorsanız bu araştırma tam size göre :Android Uygulama Güvenliği ve Bileşenleri

Mobil uygulama güvenliği hakkında daha fazla bilgi sahibi olmak istiyorsanız bu siteyi ziyaret edebilirsiniz : Android cihazın güvenliğini sağlama | Android Open Source Project