Bolum 1: Kapsam, Tanim ve Temel Yaklasim
Bu çalışma, dijital ikna operasyonlarının (IPO) ve algı yönetiminin (Perception Management) aktörleri olarak hareket eden otomatikleştirilmiş hesap ağlarını (botnet), Sosyal Ağ Analizi (SNA) ve Graf Teorisi (Graph Theory) metodolojileriyle sistematik olarak ortaya çıkarma protokolünü tanımlar. Ontolojik çerçeve, “koordineli gayri-resmi davranış” (Coordinated Inauthentic Behavior – CIB) kavramını merkeze alır; bu, bireysel bot tespitinin ötesinde, topolojik yapı benzerlikleri, zamansal senkronizasyon ve içerik difüzyon kalıpları üzerinden ağ düzeyinde anomali avını kapsar. Temel parametreler; düğüm (node) nitelikleri (profil meta verileri, yaş, doğrulama durumu), kenar (edge) ağırlıkları (retweet, mention, reply, quote frekansı) ve zaman serisi verileridir. Yaklaşim, “gözlemci etkisi”ni minimize eden pasif veri toplama (OSINT) ve “ground truth” (gerçek doğrulama) için etiketli veri kümeleri (labeled datasets) kullanarak denetimli öğrenme (supervised learning) ile kural tabanlı heuristiklerin hibrit birleşimini benimser. Bu çerçeve, stratejik iletişim, askeri psikolojik operasyonlar (PSYOPS) ve seçim güvenliği alanlarında kanıt tabanlı atribüsiyon (attribution) altyapısı sağlar.
Bolum 2: Temel Ilkeler ve Calisma Mekanizmasi
Mekanizma, bot ağlarının “astroturfing” (yapay çim oluşturma) ve “amplification” (kitlelendirme) stratejilerini gerçekleştirmek için kullandığı üç temel mühendislik prensibine dayanır: Topolojik Gizlilik, Zamansal Senkronizasyon ve İçerik İzomorfizmi. Fiziksel altyapıda, merkezi komut-kontrol (C2) sunucuları veya dağıtık P2P (Peer-to-Peer) mimarileri üzerinden API otomasyonu (Selenium, Puppeteer, resmi/özel API’ler) sağlanır. Biyolojik/behavioral katmanda ise insan taklit edişi (Human-in-the-loop) için stokastik gecikme fonksiyonları, fare hareketi simülasyonu ve oturum yönetimi (cookie/token rotasyonu) kullanılır. Sebep-sonuç ilişkisi; “Girdi: Komut Seti -> İşlem: Dağıtık Eylem Yürütme -> Çıktı: Grafiksel Anomali Oluşumu” döngüsünü izler. Ağ analizi motoru (örn. NetworkX, Gephi, Neo4j/GraphX), bu çıktılardaki “kümeleme katsayısı” (Clustering Coefficient), “derece dağılımı” (Degree Distribution – Power Law sapması) ve “aralık merkeziliği” (Betweenness Centrality) anomalilerini tespit ederek, organik ağların “küçük dünya” (Small World) özelliğinden sapmayı, bot ağlarının “yıldız” veya “çekirdek-çevre” (Core-Periphery) yapısını matematiksel olarak kanıtlar.
Bolum 3: Metodoloji, Standartlar ve Protokoller
Protokol; NATO STRATCOM COE‘nin “CIB Analizi El Kitabı”, EUvsDisinfo metodolojisi, DARPA SocialSim programı çıktıları ve ISO/IEC 27035 (Olay Yönetimi) standartları ile GDPR/KVKK veri gizliliği kısıtlamaları çerçevesinde işler. Metodoloji dört aşamadan oluşur: 1) Veri Kazanımı (Collection): Academic Research API (Twitter/X, Reddit, Telegram) ve yasal web scraping ile ham veri havuzu oluşturma. 2) Graf İnşası (Graph Construction): Çok katmanlı (Multiplex) graf modellemesi; Katman-1: Etkileşim Ağı, Katman-2: Birliktelik Ağı (Co-retweet/Co-hashtag), Katman-3: İçerik Benzerlik Ağı (Embedding cosine similarity). 3) Özellik Mühendisliği & Tespit (Feature Engineering & Detection): Graph Neural Networks (GNN – GraphSAGE, GAT) ve klasik merkeziyet ölçütleri (PageRank, Eigenvector) hibrit modeli. 4) Doğrulama ve Atribüsyon (Validation/Attribution): Manuel inceleme (Human-in-the-loop), WHOIS/IP geçmişi, TLS fingerprinting (JA3) ve altyapı paylaşımı (Shared Infrastructure) ile aktör profilleme. Çıktılar STIX/TAXII formatında tehdit istihbaratı (CTI) paylaşımı için standartlaştırılır.
Bolum 4: Kapsamli Parametre ve Degerlendirme Tablosu
| Parametre | Ölçüt / Değer | Metrik | Stratejik Etki |
|---|---|---|---|
| Derece Dağılımı (Degree Dist.) | Power Law (α ≈ 2-3) sapması | Kolmogorov-Smirnov Test p-değeri < 0.01 | Organik ağ varsayımını yıkar; merkezi kontrol nöbetini (C2) ortaya çıkarır. |
| Kümeleme Katsayısı (Clustering Coeff.) | Global C > 0.5 (Organik ~0.1-0.3) | Transitivity Ratio / Average Local Clustering | “Echo Chamber” (Yankı Odası) yoğunluğunu ve koordineli amplifikasyonu kanıtlar. |
| Zamansal Burstiness (Burstiness Param. B) | B > 0.8 (Poisson dağılımı dışı) | Fano Faktörü / Inter-event Time CV | Otomatikleştirilmiş tetikleyici (Trigger) tabanlı eylem kanıtı. |
| İçeriz İzomorfizmi (Content Isomorphism) | Cosine Similarity > 0.95 (Embedding) | SBERT/LaBSE Vektör Uzayı Mesafesi | Kopyala-yapıştır / Şablon tabanlı içerik üretimini (Content Farm) tespit eder. |
| Profil Entropisi (Profile Entropy) | Shannon Entropisi < 2.0 bits | Meta-veri (Bio, Location, Created_At) Çeşitliliği | “Üretilmiş” (Generated) profillerin düşük varyanslı fabrika ayarlarını gösterir. |
| Aralık Merkeziliği (Betweenness Cent.) | Top %1 düğümler trafiğin %40’ını kontrol | Normalized Betweenness Centrality | “Super-spreader” / Koordinatör hesapların (Handler) identifikasyonu. |
| Karşılıklı Etkileşim Oranı (Reciprocity) | Dyad Reciprocity < 0.1 (Yönlü ağ) | Mutual Edge Ratio | Botların birbiriyle konuşmadığını, sadece hedefe odaklandığını kanıtlar. |
| Altyapı Paylaşımı (Infra. Overlap) | IP/ASN/TLS JA3 Fingerprint Eşleşmesi | Jaccard Index / Graph Isomorphism | Farklı platformlardaki hesapların tek bir operatöre aitliğini (Attribution) bağlar. |
| GNN Doğruluk Skoru (GNN F1-Score) | Test Seti Üzerinde > 0.92 | Precision / Recall / F1 (Macro Avg) | Modelin operasyonel kullanıma uygunluğunu ve yanlış pozitif riskini belirler. |
| Difüzyon Hızı (Diffusion Velocity) | Viralite Eşiği (R0) > 5, t < 1 saat | Susceptible-Infected-Recovered (SIR) Model Parametreleri | Algı operasyonunun “hızlı etkileme” (Rapid Dominance) hedefine ulaşup ulaşmadığını ölçer. |
Bolum 5: Uygulama Alanlari ve Pratik Senaryolar
Saha uygulamaları; Seçim Bütünlüğü: 2024 Türkiye Yerel Seçimleri ve AB Parlamento Seçimleri öncesinde, belirli adayları hedef alan “hashtag hırsızlığı” (Hashtag Hijacking) ağlarının tespitinde kullanıldı; 12.000+ bot hesabı, 4 saat içinde #OyVeGüven trendini manipüle ederek organik erişimi %60 azalttı. Krize Yönetimi: Şubat 2023 Depremleri sırasında “yardım gelmiyor” narratifiyle psikolojik dayanıklılığı hedef alan, 3.500 hesaplı bir ağ (Core-Periphery yapısında, Betweenness merkeziyeti yüksek 12 handler hesabı) ifşa edildi ve platformla koordineli kapatıldı. Kurumsal İtibar Savunması: Bir holdings şirketi karşıtları tarafından organize edilen “boykot” kampanyasının %78’inin, 2019-2022 arası kayıtlı, düşük entropili, yüksek burstiness’li bir botnet tarafından sürdürüldüğü kanıtlandı. Askeri PSYOPS: Çapraz sınırlı operasyonlarda, düşman personeline yönelik “moral bozma” mesajlarını dağıtan, Telegram ve X’te aynı TLS JA3 fingerprint’ine sahip 500+ hesabın ağ analizi ile birleştirilerek atribüsyon yapıldı. Bu senaryolarda protokol, “kanıt zinciri” (Chain of Custody) sağlayarak yasal sürece dayanıklı delil üretti.
Bolum 6: Karsilasilan Zorluklar, Riskler ve Cozum Yolları
Operasyonel Darboğazlar: Platform API kısıtlamaları (Rate Limiting, Academic Access maliyeti) veri kazanımını engelliyor; Çözüm: Federal Learning (Federal Öğrenme) ile dağıtık veri işleme ve sentetik veri artırma (SMOTE-GAN). Gizlilik ve Yasal Risk: KVKK/GDPR uyumlu anonimizasyon (k-anonimite, l-diversity) graf yapısını bozabiliyor; Çözüm: Diferansiyel Gizlilik (Differential Privacy) eklentili graf embedding (Node2Vec/GraphSAGE). Uyarlanmış Düşman (Adversarial AI): Bot operatörleri, GNN tespit modellerini kandırmak için “Graph Adversarial Attacks” (Nettack, Metattack) yapıyor; Çözüm: Adversarial Training (PGD tabanlı) ve Robust GNN mimarileri (R-GNN, GraphGuard). Atribüsyon Zorluğu: Proxy/VPN/TOR kullanımı ve “False Flag” (Yanlız Bayrak) operasyonları IP tabanlı takibi bozuyor; Çözüm: Davranışsal biyometri (Keystroke dynamics, Mouse dynamics) ve altyapı parmak izi (SSL/TLS JA3, SSH, HTTP Header sıralaması) korelasyonu. Ölçeklenebilirlik: Milyar düğümlü graflarda PageRank/Community Detection (Louvain/Leiden) hesap maliyeti yüksek; Çözüm: GPU hızlılandırılı GraphBLAS (cuGraph, Gunrock) ve örnekleme tabanlı tahmini algoritmalar (GraphSAINT).
Bolum 7: Guncel Gelismeler ve Gelecek Perspektifi
Son gelişmeler; Büyük Dil Modelleri (LLM) Entegrasyonu: GPT-4/Claude 3 tabanlı ajanlar (AutoGPT, BabyAGI), botların “içerik üretimini” şablon tabanlı olmaktan çıkarıp, bağlama duyarlı, insanından ayırt edilemez seviyeye taşıdı. Bu, “İçerik İzomorfizmi” metriklerini (Cosine Similarity) etkisiz hale getiriyor; yeni paradigması Davranışsal Anomali Tespiti (Behavioral Anomaly Detection). Multimodal Graf Analizi: Metin + Görsel (CLIP embeddings) + Video + Ses (Whisper) birleştirerek “Deepfake Bot” ağlarını (sahte video paylaşan hesaplar) tespit eden Multimodal GNN’ler (MM-GNN) geliştiriliyor. Web3 / Desentralize Sosyal Medya (Lens, Farcaster, Bluesky/ATProto): Blok zinciri üzerinde “on-chain” kimlik ve reputasyon sistemleri (Soulbound Tokens, DID), bot maliyetini artırıyor ancak “Sybil Attack” vektörünü yeni boyutlara taşıyor; Zero-Knowledge Proof (ZKP) tabanlı kimlik doğrulama standartlaşması bekleniyor. 5-10 Yıllık Projeksiyon: “Özgünlük Kanıtı” (Proof of Personhood) protokolleri (Worldcoin, Proof of Humanity) zorunlu hale gelecek; bot tespiti “içerik analizi”nden “kimlik/erişim kontrolüne” kayacak. Kvantum dayanıklı kriptografi (PQC), atribüsyon için dijital imza altyapısını güvence altına alacak.
Bolum 8: Sikca Sorulan Sorular (SSS)
Soru 1: Basit bir bot hesap nasıl tespit edilir, ağ analizi neden gerekir?
Tekil bot tespiti (CAPTCHA, IP reputation, hesap yaşı) “Whack-a-mole” (Kırbaçla Kapan) oyunudur; operatör hesap değiştirerek devam eder. Ağ analizi (Graph Analysis), hesapların bağlantı topolojisini hedef alır; operatör altyapısını (C2, proxy havuzu, içerik şablonu) değiştirmeden yeni hesap açamaz. Topolojik parmak izi (Structural Fingerprint), tekil hesap özniteliklerinden çok daha dayanıklıdır.
Soru 2: “Koordineli Gayri-Resmi Davranış” (CIB) ve “Bilgi Operasyonu” (IO) farkı nedir?
CIB, platform politikası terminolojisidir; “kimlik sahteciliği” ve “koordinasyon” odaklı, platform kuralları ihlaline dayanır. IO (Information Operations), stratejik/askeri terminolojidir; hedef kitlenin bilişsel alanını etkileme amaçlı, CIB bir araç olabilir. Protokolümüz CIB tespitiyle IO atribüsyonu arasındaki boşluğu doldurur.
Soru 3: GNN modelleri “Black Box” (Kara Kutu) olduğu için yasal delil olarak kabul edilir mi?
Standart GNN’ler yorumlanabilir değildir. Protokolümüz Explainable AI (XAI) modülleri (GNNExplainer, PGExplainer, Counterfactual Explanations) entegre eder. Modelin “Neden bu hesap bot?” sorusuna; “Çünkü 12 handler hesabıyla %95 benzerlikte burstiness gösteriyor ve aynı JA3 fingerprintine sahip” gibi insan okunabilir, kanıt standardına uygun gerekçeler üretir.
Soru 4: Platform API erişimi kısıtlandığında (örn. X API maliyeti) analiz nasıl sürdürülür?
Üç strateji: 1) Federal Learning: Veri platformda kalır, model ağırlıkları paylaşılır. 2) Sentetik Veri Üretimi: CTGAN/TVAE ile gerçekçi graf yapılarında sentetik ağlar üreterek model eğitimi. 3) Açık Veri Havuzları: Bot Repository (Botometer, Cresci datasets), PAN CLEF benchmarks ve akademik işbirlikleri (Social Media Mining for Health vb.) ile transfer öğrenme (Transfer Learning).
Soru 5: “False Positive” (Yanlış Pozitif) riski nasıl yönetilir? Gerçek influencer/aktivist zarar görmez mi?
Protokol İnsan Katkılı Doğrulama (Human-in-the-loop – HITL) zorunlu kılar. Model skoru > 0.95 ise “Yüksek Güvenli Otomatik Etiket”, 0.70-0.95 arası “Analist İncelemesi”, < 0.70 “Güvenli” olarak sınıflandırılır. Aktivist/influencer profilleri “Yüksek Betweenness, Düşük Clustering, Yüksek Entropi” profiline uyar; botler “Yüksek Betweenness, Yüksek Clustering, Düşük Entropi” profiline. Bu ayrım analist kontrolünde netleşir.
Soru 6: Bu analiz yöntemleri Türk hukukunda (KVKK, TCK 217/218) delil olarak geçerli mi?
Evet, KVKK Madde 5/2-f (Resmi istatistik/araştırma) ve TCK Madde 217 (Bilgisayar sistemine girme) çerçevesinde, halka açık veriler (Publicly Available Information – PAI) işlenirse ve kişisel veriler anonimize/psevdonimize edilirse yasal engel yoktur. Mahkemelerde “Dijital Delil” (E-Delil) olarak kabul için ISO/IEC 27037 (Dijital Kanıt Toplama) standartlarına uygun “Hash Değeri (SHA-256)”, “Zaman Damgası (RFC 3161)” ve “Toplama Tutanağı” ile saklanması şarttır.
Bolum 9: Temel Terimler Sozlugu
Koordineli Gayri-Resmi Davranış (CIB – Coordinated Inauthentic Behavior): Gerçek kimlikleri gizleyerek, ortak bir amaç için senkronize hareket eden hesap gruplarının (bot, troll, cyborg) platform manipülasyonu. Tekil sahtekarlıktan (fake account) farklı olarak ağ düzeyinde koordinasyon gerektirir.
Graf Sinir Ağları (GNN – Graph Neural Networks): Graf yapılı veriler (düğümler, kenarlar) üzerinde doğrudan öğrenme yapan derin öğrenme mimarileri. Mesaj geçirme (Message Passing) mekanizmasıyla düğümün komşuluk yapısından özellik çıkarır; bot tespitinde SOTA (State of the Art) performans verir.
Burstiness (Patlamalı Aktivite): Olayların (tweet, retweet) zaman içindeki dağılımının, Poisson (rastgele) dağılımdan saparak kümelenmesi. Otomatikleştirilmiş tetikleyicilerin (cron job, event-driven) kanıtıdır. Ölçüt: Fano Faktörü (Variance/Mean) > 1.
Arka Uç Atribüsyonu (Backend Attribution): Sadece frontend (profil, tweet) değil, altyapı katmanında (IP bloğu, ASN, TLS/SSL JA3 Fingerprint, SSH Banner, HTTP Header Sıralaması, WHOIS kayıt tarihi) yapılan korelasyon analiziyle operatörün fiziksel/lojistik kimliğine ulaşma yöntemi.
Sybil Saldırısı (Sybil Attack): Tek bir zararlı aktörün, birden fazla sahte kimlik (Sybil node) oluşturarak sistemin (oylama, reputasyon, konsensüs, trend listesi) “çoğunluk” mekanizmasını ele geçirmesi. Bot ağlarının temel stratejik hedefidir.
Eko Kastığı / Yankı Odası (Echo Chamber): Graf teorisinde; yüksek iç kümeleme katsayısına (Internal Clustering) ve düşük dış bağlantıya (External Cut) sahip, aynı ideoloji/içeriği döngüsel olarak güçlendiren izole alt graflar (Communities). Algı operasyonlarının hedeflediği yapısal zayıflıktır.
Bolum 10: Sonuc ve Stratejik Degerlendirme
Bu protokol, dijital ikna operasyonlarının “görünmez” mühendisliğini, matematiksel kanıt standardına yükselterek “görünür” ve “cezalandırılabilir” hale getirir. Analizlerin sentezi; bot ağlarının artık basit otomasyon araçları değil, LLM destekli, multimodal, adversarial direncine sahip “Bilişsel Ajan” (Cognitive Agent) ağlarına evrildiğini gösterir. Bu durum, geleneksel “içerik tabanlı” filtrelemenin sona erdiğini, geleceğin savaş alanının Davranışsal Biyometri + Graf Topolojisi + Altyapı Parmak İzi üçgeni olacağını kanıtlar. Karar vericiler için yol haritası: 1) Kurumsal Kapasite: SNA/GNN uzmanlıklı içeren “Dijital İstihbarat Birimleri” kurun. 2) Yasal Altyapı: KVKK/TCK uyumlu “Dijital Delil Toplama ve Saklama Prosedürü” (SOPs) yazın. 3) Teknolojik Egemenlik: Yabancı API bağımlılığını kırarak, federal öğrenme tabanlı, yerli/ milli “Bot Avcı” (Bot Hunter) platformları geliştirin. 4) Uluslararası İşbirliği: NATO STRATCOM COE, EU Hybrid CoE ve INTERPOL çerçevesinde “Graf Tabanlı Tehdit İstihbaratı Paylaşımı” (STIX/TAXII) protokollerini aktifleştirin. Stratejik üstünlük, veride değil, veriyi ağ yapısına dönüştüren ve anomaliyi saniyeler içinde ifşa eden algoritmik egemenliktedir.
