Bölüm 1: Kapsam, Tanım ve Temel Yaklaşım
Bu çalışma, dijital mekânlarda organize algı operasyonlarının (Perception Operations) ve hesaplı ikna (Computational Persuasion) stratejilerinin aktörlerini, bot hesap ağlarını (Botnets), Graf Teorisi (Graph Theory) tabanlı Ağ Analizi (Network Analysis) metodolojisiyle ifşa etme çerçevesini kapsar. Ontolojik olarak; “Düğümler” (Nodes: Hesaplar, IP blokları, cihaz parmak izleri, içerik kümeleri) ve “Kenarlar” (Edges: Takip, retweet, mention, co-retweet, zaman damgası korelasyonu, semantik benzerlik) ilişki modeli üzerinden kurulu bir çok katmanlı (Multiplex) ağ yapısı öne sürülür. Temel yaklaşım, anomali tespitini (Anomaly Detection) tekil hesap metriklerinden (follower/following oranı, tweet frekansı) çıkarıp, toplumsal davranışsal biyometrikler (Collective Behavioral Biometrics) ve yapısal eşzamanlılık (Structural Synchronization) üzerine kurar. Bu paradigma, “Astroturfing” (yapay çimendirme) ve “Amplification Networks” (kitlelendirme ağları) gibi jeopolitik ve ticari algı operasyonlarının mühendisliğini tersine mühendislik (Reverse Engineering) ile çözmeyi hedefler.
Bölüm 2: Temel İlkeler ve Çalışma Mekanizması
Mekanizma, bot ağlarının “Doğal Olmayan Eşzamanlılık” (Inauthentic Coordinated Behavior) ilkesine dayanır. Fiziksel/mühendislik katmanında; merkezi komut-kontrol (C2) sunucuları, konteyner tabanlı orkestrasyon (Kubernetes/Docker Swarm) ve mobil cihaz çiftlikleri (Device Farms) veya bulut tabanlı sanal makine havuzları (AWS/GCP/Azure spot instances) üzerinden IP rotasyonu (Residential Proxy Rotasyonu) sağlanır. Biyolojik/benzerlik katmanında ise; insanlıksı (Human-like) gecikme modelleri (Poisson/Gaussian dağılımlı bekleme süreleri), tarayıcı parmak izi sahteciliği (Canvas/WebGL Fingerprint Spoofing) ve LLM tabanlı içerik üretimi (Generative AI Content) yer alır. Sebep-sonuç ilişkisi; “Girdi: Koordineli Eylem Komutu -> İşlem: Dağıtık Esecütif Eylemler (Like/RT/Reply/Quote) -> Çıktı: Algoritmik Trending Manipülasyonu ve Organik Erişim Hırsızlığı” zincirini izler. Ağ dinamikleri; “Küçük Dünya” (Small-World) özelliği gösterirken, merkeziyetçilik (Centrality) metrikleri (Betweenness, Eigenvector) operatör hesaplarını (Operators/Handlers) ve “Bridge” hesaplarını (Köprüler) ortaya çıkarır.
Bölüm 3: Metodoloji, Standartlar ve Protokoller
Analiz metodolojisi; veri toplama (API v2 / Academic Research Access / Firehose / Decahose), veri temizleme (Deduplication, Botometer V4 / BotHunter entegrasyonu), çok katmanlı ağ inşa etme (Multiplex Graph Construction: Etkileşim Ağı, Birliktelik Ağı, Semantik Benzerlik Ağı) ve topluluk tespiti (Community Detection: Leiden/Infomap/Louvain) aşamalarını içeren bir işlem hattı (Pipeline) izler. Standartlar olarak; NATO STRATCOM COE “Automated Fact-Checking” ve “Information Environment Assessment” raporları, EU DisinfoLab metodolojisi, DARPA SocialSim / Bot Challenge veri setleri ve IEEE 2731 (Data Analytics for Social Networks) referans alınır. Protokol seviyesinde; GDPR/KVKK uyumlu anonimizasyon (k-anonymity, l-diversity), veri paylaşımı için MISP (Malware Information Sharing Platform) STIX/TAXII formatları ve tehdit istihbaratı paylaşımı için STIX 2.1 “Campaign”, “Intrusion-Set”, “Threat-Actor” nesneleri kullanılır. Ölçümde; Modularity (Q > 0.3), Assortativity (Negatif değerler bot ağlarını işaret eder), Clustering Coefficient ve Conductance metrikleri karar verici kriterlerdir.
Bölüm 4: Kapsamlı Parametre ve Değerlendirme Tablosu
| Parametre | Ölçüt / Değer | Metrik | Stratejik Etki |
|---|---|---|---|
| Düğüm Derecesi Dağılımı (Degree Distribution) | Power-Law (α ≈ 2-3) vs. Poisson | Kolmogorov-Smirnov Testi, KS D-değeri | Organik ağlarda Scale-Free; Bot ağlarında yapay düzleştirme veya bimodal dağılım tespiti. |
| Eşzamanlılık Skoru (Synchronicity Score) | Zaman Serisi Korelasyonu (DTW / Pearson) | Ortalama Zaman Farkı (ms), Burstiness (σ/μ) | Saniyeler içinde binlerce hesapta aynı içeriğin paylaşılması “Orkestrasyon” kanıtıdır. |
| Yapısal Benzerlik (Structural Equivalence) | Jaccard / Cosine Benzerliği (Komşuluk Vektörü) | Eşleşme Oranı > %85 (Top-k) | Farklı IP/Coğrafya olsa bile aynı hedef kitleyi takip eden “Klon Ağları”nı ortaya çıkarır. |
| İçerik Hash Benzersizliği (Content Hash Diversity) | SHA-256 / SimHash / MinHash Benzersizliği | Benzersiz Hash Oranı (Unique Hash / Total Tweets) | %10’un altındaki oran “Copy-Paste” veya Şablon tabanlı (Templated) üretimi kanıtlar. |
| Ara Merkezilik (Betweenness Centrality) | En Kısa Yol Geçiş Sayısı (Brandes Algoritması) | Normalize Edilmiş Skor > 0.01 | Ağın bilgi akışını kontrol eden “Operatör/Handler” hesaplarını tespit eder. |
| Topluluk Modülerliği (Modularity Q) | Leiden Algoritması Çıktısı | Q Değeri (0 – 1 arası) | Yüksek Q (>0.6), izole, yoğun bağlantılı bot kümelerinin (Echo Chambers) varlığını gösterir. |
| IP / ASN Çeşitliliği (IP/ASN Entropisi) | Shannon Entropisi (H) | H(IP) < 2.0 (Düşük Entropi) | Proxy/VPN havuzu daralması veya Veri Merkezi (Hosting) ASN’leri (Örn: AS16509, AS13335) yoğunluğu. |
| Hesap Yaşı – Aktivite Anomalisi (Account Age vs Velocity) | Gün başına Ortalama Tweet (Velocity) | Z-Skoru > 3 (Aşırı Değer) | Yeni açılmış (0-30 gün) ama günde 100+ tweet atan “Sleeper/Throwaway” hesap profilleri. |
| Dil Modeli Perpleksitesi (LLM Perplexity) | GPT-2/3/4 Detektör Skoru (Örn: DetectGPT, Binoculars) | Ortalama Perpleksite < 10 (Düşük) | İnsan yazımı beklenenden çok daha olası (düşük şaşırmışlık) = Yapay Zeka Üretimi. |
| Geri Dönüşüm Oranı (Account Recycling Rate) | Kullanıcı Adı / ID Değişiklik Geçmişi | API Metadata (legacy_id changes) | Askıya alınan hesapların satın alınıp yeniden markalanması (Re-branding) operasyonları. |
| Çapraz Platform Parmak İzi (Cross-Platform Fingerprint) | Kullanıcı Adı / Biyografi / PP Hash Eşleşmesi | Fuzzy Matching Skoru > 0.9 | Telegram/Discord koordinasyon kanallarından Twitter/X’e sızıntı analizi (OpSec hatası). |
| Ağ Dayanıklılığı (Network Robustness) | Düğüm/Silme Simülasyonu (Random vs Targeted) | R Değeri (Entegral Alan) | Hedefli silinme (Targeted Removal) ile ağın çökmesi (R~0), merkeziyetçi kontrol kanıtıdır. |
| Duygu Polarizasyonu (Sentiment Polarization) | VADER / BERTurk / SentiNet Skoru | Standart Sapma (Std Dev) Düşük | Organik tartışmalarda yüksek varyans; Bot ağlarında tek yönlü, monolitik duygu baskını. |
Bölüm 5: Uygulama Alanları ve Pratik Senaryolar
Saha uygulamaları; seçim güvenliği (2023 Türkiye Seçimleri, 2024 ABD Başkanlığı, AB Parlamentosu), jeopolitik kriz anında algı yönetimi (Ukrayna-Rusya, Gazze-İsrail çatışmalarında “Hashtag Hijacking”), marka itibar sabotajı (Competitor Sabotage via Review Bombing), finansal piyasa manipülasyonu (Pump-and-Dump koordinasyonu via $CASHTAG ağları) ve terör örgütü propaganda dağıtımı (ISIS/YPG/PKK medya ekosistemi) alanlarında yoğunlaşır. Kritik vaka analizi: 2024 yerel seçimleri öncesinde tespit edilen “Yerel Medya Klon Ağı” (Local Media Clone Network); 4.000+ hesap, 120+ sahte yerel haber sitesi RSS beslemesiyle senkronize, coğrafi hedefleme (Geo-targeting) yaparak ilçe bazında mikro-hedefleme (Micro-targeting) gerçekleştirmiş. Ağ analizi (Infomap), bu hesapların tek bir ASN (Autonomous System Number) bloğundan ve 3 ana “Bridge” hesabından kontrol edildiğini kanıtladı. Pratik kullanım modeli: “Real-time Dashboards” (Grafana/Neo4j Bloom) ile anomali tespiti -> “Attribution Report” (MITRE ATT&CK for Influence Operations: T0098, T0152) -> Platform Güvenlik Ekipleri (Trust & Safety) / CERT / Savcılık ile takip süreci.
Bölüm 6: Karşılaşılan Zorluklar, Riskler ve Çözüm Yolları
Operasyonel darboğazlar; X/Twitter API erişim maliyetleri (Enterprise $42k/ay) ve rate limitleri (Academic Research Track kapanışı), veri eksikliği (Missing Data Bias) ve “Gölge Ban” (Shadowban) etkisiyle gözlemlenemeyen kenarlar. Hata modları; False Positive (Gerçek kullanıcı -> Bot sınıflandırması – Örn: K-pop fanları, e-spor toplulukları) ve False Negative (Gelişmiş “Cyborg” hesapları -> İnsan sınıflandırması). Risk faktörleri; yasal sorumluluk (KVKK/GDPR ihlali riski), platform politikalarının aniden değişmesi (Deplatforming verilerinin kaybolması), Adversaire Makine Öğrenmesi (Adversarial ML: Botların graf metriklerini taklit etmesi – Graph Adversarial Attack). Proaktif çözümler; Federated Learning ile çapraz platform veri paylaşımı (Veri merkezlerinden çıkmadan model eğitimi), Synthetic Data Generation (GAN/VAE) ile nadir sınıf (Bot) artırımı, Explainable AI (SHAP/LIME) ile karar şeffaflığı, ve “Human-in-the-Loop” (HITL) doğrulama katmanı ile yasal kanıt standardına uygun raporlama.
Bölüm 7: Güncel Gelişmeler ve Gelecek Perspektifi
Son gelişmeler; Büyük Dil Modelleri (LLM) tabanlı “Persona-Consistent” botların (Character.ai / Custom GPTs ile derinlikli karakterler) tekil metrikleri (Botometer) tamamen geçersiz kılması. Multimodal Ağ Analizi (Text + Image/Video CLIP Embeddings + Audio) ile “Deepfake/Shallowfake” içerik kümelerinin (Content Clusters) ağ yapısına entegre edilmesi. Temporal Graph Networks (TGN / TGAT) ile dinamik ağ temsillerinin statik anlık görüntülerden (Snapshots) sürekli öğrenen (Continual Learning) modellere evrimi. Gelecek 5-10 yıl projeksiyonu: “Agentic AI Swarms” (Ajan Tabanlı Sürüler) – hedef belirlenip “Kendiliğinden” strateji üreten, hata yapıp öğrenen, blok zinciri (Smart Contracts) ile ödüllendirilen/cezalandırılan tam otonom bot ekosistemleri. Bu, “Attribution” (Kimliği Belirleme) sorununu “Code Attribution” (Kod/Yazar Belirleme) boyutuna taşıyacak. Kuantum dayanıklı kriptografi (PQC) ile anonim koordinasyon kanallarının (Nostr/SimpleX) yaygınlaşması, merkezi platform moderasyonunu imkansız hale getirecek; çözüm “Client-Side Verification” ve “Provenance Standards” (C2PA) olacaktır.
Bölüm 8: Sıkça Sorulan Sorular (SSS)
Soru 1: Basit bir “Bot Skoru” (Botometer vb.) neden yetmez, neden Ağ Analizi (Graph Analysis) zorunludur?
Tekil hesap skorları (Univariate), “Cyborg” hesapları (İnsan+Bot hibriti) ve yüksek kaliteli “Sleeper” hesapları (Yıllar önce açılmış, düşük aktiviteli, aniden harekete geçen) tespit edemez. Ağ analizi (Multivariate/Relational), hesapların bağlamsal ilişkilerini (Koordinasyon, Yapısal Benzerlik, Zaman Korelasyonu) inceleyerek, bireysel gizliliği (OpSec) koruyan aktörlerin kolektif kimliğini (Collective Identity) ortaya çıkarır. Tek bir hesap “insan” görünse bile, 500 hesabın aynı saniyede, aynı içerikte, aynı hata ile davranması matematiksel olarak olası değildir (p < 0.0001).
Soru 2: “Koordineli Davranış” (Coordinated Behavior) ile “Otonom Benzer Davranış” (Organic Convergence) nasıl ayrılır?
Ayırım, Zaman Damgası Hassasiyeti (Temporal Granularity) ve Yapısal Eşzamanlılık (Structural Synchronicity) kesişimindedir. Organik converjans (Örn: Deprem sonrası yardım çağrısı) “Burst” (Patlama) gösterir ancak içerik varyansı yüksektir, ağ topolojisi dağınıktır (Low Modularity). Koordineli davranışta; İçerik Varyansı Sıfıra Yakındır (Template/Hash match), Zaman Gecikmesi Standart Sapması ≈ 0 (Makine hassasiyetinde), Topluluk Modülerliği Yüksektir (İzole kümeler). İstatistiksel test: Hawkes Process (Self-exciting point process) parametreleri (μ, α, β) ile organik tetikleme vs. dışsal komut tetiklemesi ayrılır.
Soru 3: Graf Analizinde “Ground Truth” (Gerçek Etiket) veri seti nasıl elde edilir, etik sorunlar nelerdir?
Ground Truth; 1) Platform güvenlik ekiplerinin (Twitter Safety, Meta TI) paylaştığı “Information Operations” arşivleri (Açık veri setleri: Twitter Election Integrity, TikTok Influence Operations). 2) “Honeypot” (Bal Küpü) hesapları kurarak bot operatörlerinin kendilerini ortaya çıkarması (Engagement Bait). 3) Manuel uzman etiketlemesi (Inter-annotator agreement: Cohen’s Kappa > 0.8). Etik sorunlar; KVKK/GDPR Madde 9 (Özel Kategoriler), “Profiling” yasakları, anonimizasyonun tersine mühendislikle kırılma riski (Re-identification). Çözüm: Diferansiyel Gizlilik (Differential Privacy – ε-DP) ile ağ metriklerinin paylaşımı.
Soru 4: LLM (Büyük Dil Modelleri) bot içerik üretimini nasıl değiştirdi ve tespiti nasıl etkiledi?
LLM’ler (GPT-4o, Llama-3, Mistral), “Template” tabanlı tekrarı (Low Entropy) bitirerek, her tweet için benzersiz, bağlama duyarlı, dilbilgisi açısından mükemmel, duygu yüklü içerik üretir. Bu, klasik “SimHash/MinHash” tabanlı kopya tespitini ve “Perplexity” tabanlı AI detektörlerini (False Negative) atlatır. Yeni tespit vektörü: Semantik Ağ Tutarlılığı (Semantic Graph Consistency). LLM’ler benzersiz cümle kurar ancak argüman yapısı (Argument Structure), mantıksal safsatalar (Logical Fallacies), hedef naratif vektörü (Target Narrative Vector) ağ düzeyinde mükemmel korelasyon gösterir. Bu “Yüksek Seviye Semantik Eşzamanlılık” (High-Level Semantic Sync) yeni anahtardır.
Soru 5: Proxy/VPN/TOR kullanımı IP tabanlı atribüsiyonu imkansız kılmıyor mu? Ağ analizi bunu nasıl aşar?
Evet, IP tabanlı atribüsiyon (Geo-IP, ASN) modern “Residential Proxy Networks” (Bright Data, Oxylabs, 911.re alternatifleri) ve “Mobile Proxy Farms” (4G/5G Dongle Farm) karşısında çökmüş durumdadır. Ağ analizi, Katman 7 (Uygulama Katmanı) Davranışsal Biyometrilerine kayar: 1) TLS Fingerprinting (JA3/JA3S): İstemci Hello paketi şifreleme süitleri sırası, bot framework’üne (Python requests, Go http, Node axios) özgüdür. 2) HTTP/2 Settings Frame Sıralaması: Kütüphaneye özgü parmak izi. 3) Davranışsal Zaman Serisi (Inter-event Times): Proxy rotasyonu olsa bile, tek bir orkestratörden çıkan komutların mantıksal sırası ve insan dışı gecikme dağılımı (Weibull/Log-normal fit etmemesi) IP’den bağımsız olarak aktörü (Actor) tanımlar.
Soru 6: Bu analizler yargı sürecinde (Mahkemede) delil niteliğinde kabul edilir mi? Zincir Hissi (Chain of Custody) nasıl sağlanır?
Kabul edilebilirlik; Kanun Hükmünde Kararname (6698 sayılı KVKK) ve CMK Madde 243-244 (Elektronik Deliller) çerçevesinde, “Bilgi Sistemleri Uzmanı” raporu ile mümkündür. Zincir Hissi için: 1) Veri Toplama: API isteği/yanıtının (Raw JSON) SHA-256 hash’i alınıp zaman damgalı (RFC 3161 Timestamp Authority) noterde saklanması. 2) İşleme: Kodun (Python/Script) versiyon kontrolü (Git Commit Hash), konteyner imajı (Docker Image Digest – SHA256), çalışma ortamı logları. 3) Çıktı: Sonuç dosyalarının (GraphML, CSV, Report PDF) hashlenmesi ve dijital imza (e-İmza / Qualified Electronic Seal) ile mühürlenmesi. Bu “Adli Bilişim Süreci” (Digital Forensics Process – ISO/IEC 27037) standartlarına uygunluk sağlar.
Bölüm 9: Temel Terimler Sözlüğü
Astroturfing (Yapay Çimendirme): Kökten gelen (Grassroots) görünüm vermek için, merkezi bir aktör tarafından finanse edilip yönetilen, doğal halk hareketi gibi sahte lenfelenme operasyonları. Ağ analizi; merkezi koordinasyon düğümlerini (Root Nodes) ve yapay kitlelendirme motiflerini (Artificial Amplification Motifs) tespit eder.
Bridge Account (Köprü Hesabı): Farklı topluluklar (Communities) veya modüller (Modules) arasında yüksek “Betweenness Centrality”ye sahip, bilgi akışını sağlayan, genellikle operatör (Handler) veya “Super-spreader” rolündeki hesaplar. Bu hesapların askıya alınması ağın parçalanmasına (Fragmentation) neden olur.
Hawkes Process (Hawkes Süreci): Zaman içindeki olayların (tweet, retweet) birbirini tetikleme olasılığını modelleyen, “Self-Exciting” (Kendini Tetikleyen) nokta süreci. Organik olaylarda “background rate” (μ) hâkimken; bot ağlarında “excitation kernel” (α, β) parametreleri anormal yüksekliği gösterir.
Multiplex Network (Çok Katmanlı Ağ): Aynı düğüm kümesi (Hesaplar) üzerindeki farklı ilişki tiplerinin (Takip, Retweet, Mention, Co-Hashtag, IP Paylaşımı, Cihaz Paylaşımı) ayrı katmanlar (Layers) olarak modellenip, katmanlar arası bağımlılıkların (Inter-layer dependencies) analiz edildiği yapı. Tek katmanlı analiz “False Negative” üretir.
Structural Equivalence (Yapısal Eşdeğerlik): İki düğümün (Hesabın), ağdaki diğer tüm düğümlere olan bağlantı profillerinin (Komşuluk vektörleri) neredeyse birebir aynı olması. “Klon Hesaplar” (Clone Accounts) veya “Şablon Hesaplar” (Template Accounts) bu metrikle (Jaccard/Cosine > 0.9) tespit edilir; IP/User-Agent değişse bile ağ yapısı onları ifşa eder.
Bölüm 10: Sonuç ve Stratejik Değerlendirme
Bu rehber, dijital ikna operasyonlarının kalbi olan “Koordinasyon” mekanizmasının, tekil hesap analiziyle değil, sadece ve sadece İlişkisel Veri (Relational Data) ve Yapısal Dinamikler (Structural Dynamics) analiziyle kırılabileceğini kanıtlamıştır. Ağ analizi (Graph Analysis), adverserin “OpSec” (Operasyonel Güvenlik) katmanlarını (Proxy, LLM, Device Farm) aşarak, değiştirilemez bir fiziksel gerçeğe: Zaman ve Mantıksal Sıralama (Causality) dayatır. Stratejik çıkarımlar şunlardır: 1) Kurumsal Kapasite: Her kurum (Devlet, Parti, Holding, Medya) “Dijital İstihbarat Birimi” içinde bir “Graf Analiz Hücresi” (Neo4j/TigerGraph/ArangoDB altyapılı) kurmalıdır. 2) Yasal Çerçeve: “Koordineli Sahte Davranış” (Coordinated Inauthentic Behavior – CIB) tanımının Türk Hukukuna (TCK Madde 217/218, Kanun No 5651) işlenebilir “Ağ Suç Unsuru” olarak kodlanması. 3) Teknolojik Egemenlik: Yabancı API’lere (X/Twitter) bağımlılığı kırılmalı; Nostr/ActivityPub (Mastodon) gibi federasyonel protokollerde kendi “Veri Toplama Düğümleri” (Indexers/Relays) kurulmalıdır. 4) İnsan Sermayesi: Veri Bilimci + Sosyolog + Hukukçu + Siber Güvenlik Uzmanı hibrit ekiplerin yetiştirilmesi. Gelecek, “Bot vs İnsan” ayrımının ortadan kalktığı, “Otonom Ajan Sürüleri vs Kolektif İnsan Zekası” mücadelesine evrilecektir; bu savaşın kazananı, ağı en
