Dijital İkna ve Algı Operasyonlarında Bot Hesap Ağlarının Ağ Analizi (Graph Analysis) ile İfşası: Adım adım kontrol ve doğrulama protokolü

Bolum 1: Kapsam, Tanim ve Temel Yaklasim

Bu çalışma, dijital ortamda organize ediş gösteren aktörlerin (devlet destekli aktörler, siyasi partiler, ticari çıkar grupları) algı operasyonları ve dijital ikna kampanyaları yürütmek üzere dağıtık bot ağlarını (botnets) nasıl orkestrasyon ettiklerinin, Graf Analizi (Graph Analysis) ve Sosyal Ağ Analizi (SNA) metodolojileriyle nasıl dekonstrüeye edilebileceğini kapsar. Ontolojik çerçeve, “hücre” (bot hesabı), “bağ” (takip/etkileşim/retweet), “merkezî komuta kontrol” (C2) topolojisi ve “sentetik amplifikasyon” kavramları üzerine kuruludur. Temel parametreler; ağ yoğunluğu (density), kümeleme katsayısı (clustering coefficient), PageRank/Betweenness centrality metrikleri, zaman serisi korelasyonu (temporal correlation) ve içerik benzerliği (semantic similarity) vektörleridir. Yaklaşım, veri bilimi (data science), jeopolitik kodlama (geopolitical coding) ve açık kaynak istihbaratı (OSINT) üçgeninin kesişiminde, bir “kanıt zinciri” (chain of custody) oluşturacak nitelikte adli dereceli (forensic-grade) bir doğrulama protokolünü hedefler.

Bolum 2: Temel Ilkeler ve Calisma Mekanizmasi

Bot ağlarının çalışma mekanizması, merkezi bir orkestrasyon katmanı (C2 sunucuları, API anahtarları, otomatikleştirme betikleri) ile dağıtık bir yürütme katmanı (sahte/satın alınan hesaplar, browser automation, residential proxy havuzları) arasındaki asimetrik ilişkiye dayanır. Fiziksel altyapı; veri merkezleri (data centers), ISP blokları ve mobil ağ geçitleri (mobile gateways) üzerinden IP rotasyonu sağlayarak atribute edilmesini zorlaştırır. Biyolojik metafora göre; “kriptik türler” (cryptic species) gibi davranırlar: Makro düzeyde insan benzeri davranış sergilerler (gece/gündüz ritmi, dil varyasyonu), mikro düzeyde ise matematiksel olarak imkansız korelasyonlar (saniyeler içinde binlerce hesapta aynı içerik paylaşımı, aynı hata tabanlı yazım yanılgıları) gösterir. Sebep-sonuç zinciri; “İçerik Üretimi -> Zamanlama Motoru -> Dağıtım Ağları (Amplification Layers) -> Hedef Kitleye Sızdırma (Infiltration)” akışını izler. Ağ mühendisliği açısından; “Yıldız” (Star), “Çekirdek-Çevre” (Core-Periphery) ve “Köprü” (Bridge) motifiği (motif) tespiti, ağın operasyonel amacını (trend yaratma, hedefi sessizleştirme, konsensüs yarattırma) ortaya koyar.

Bolum 3: Metodoloji, Standartlar ve Protokoller

Analiz, NATO STRATCOM COE’nun “Social Media Analysis Standards” raporları, DARPA Social Media in Strategic Communication (SMISC) programı çıktıları ve IEEE 2755 (Software Verification) standartlarına uygun olarak yürütülür. Veri toplama; Twitter/X API v2 (Filtered/Full Archive), GraphQL endpoint’leri ve yasal çerçevede web scraping (respecting robots.txt/ToS) ile gerçekleştirilir. Veri temizlemesinde (ETL), “User Agent” string analizi, “tweet source” alanları (TweetDeck, Buffer, Custom API), hesap yaşı (account age) ve aktivite hızı (tweets/day) kullanılarak “Otomatiklik Skoru” (Automation Score – örn. Botometer V4, CAP – Cybersecurity Automation Profile) hesaplanır. Ağ modellemesinde; yönlü ağırlıklı graf (Directed Weighted Graph) oluşturulur; düğümler hesaplar, kenarlar etkileşim türüne (RT, Reply, Quote, Like) ve zaman damgasına göre ağırlandırılır. Topluluk tespiti (Community Detection) için Louvain ve Leiden algoritmaları; anomali tespiti için Isolation Forest ve Dynamic Time Warping (DTW) kullanılır. Sonuçların admissibility (kanıt kabul edilebilirliği) için SHA-256 hashleme, WORM (Write Once Read Many) depolama ve Zaman Damgası Otoritesi (TSA) protokolleri uygulanır.

Bolum 4: Kapsamli Parametre ve Degerlendirme Tablosu

Bolum 5: Uygulama Alanlari ve Pratik Senaryolar

Saha uygulamalarında; 2020 ABD seçimlerinde “QAnon” ağlarının Graph Analysis ile haritalanması, 2022 Rusya-Ukrayna Savaşı’nda “Doppelgänger” kampanyasının (Avrupa parlmanlarına hedefli klon siteler ve bot amplifikasyonu) EU DisinfoLab tarafından SNA ile irdelemesi, Türkiye’deki 2023 seçim sürecinde belirli hashtag’lerin (#OylarıSayın, #HırsızVarmı) anorganik trend yapısının Betweenness Centrality haritalarıyla tespiti öne çıkar. Pratik senaryo: Bir jeopolitik kriz anında (örn. Karabakh, Suriye, Doğu Akdeniz), hedef ülkenin askeri hareketlerini sorgulayan yasal sorgulamaların (legitimate queries) ağda “Bridge Nodes” (Köprü Düğümler) aracılığıyla aniden “Aşırı Ulusalcı/İstismarçı” narratiflere (hate speech, disinfo) yönlendirilmesi (Topic Hijacking). Kontrol protokolü; Şirket Güvenliği (CorSec) ekiplerinin markajacking (marka hırsızlığı) ve stok manipülasyonu (stock manipulation) için “Astroturfing” (yapay çim oluşturma) ağlarını tespitinde; Faktçekerlerin (Fact-checkers) “Claim Matching” yaparak bir iddianın kaynağının (Patient Zero) bir bot ağının çekirdeği (Core) olup olmadığını doğrulamasında kullanılır.

Bolum 6: Karsilasilan Zorluklar, Riskler ve Cozum Yolları

Operasyonel darboğazlar; Platformların API erişim kısıtlamaları (rate limiting, veri erişim maliyeti), GDPR/KVKK nedeniyle IP/PII verilerinin gizlenmesi (graph’in “kenar” verilerinin eksikliği), “Low-and-Slow” (alçak ve yavaş) bot stratejilerinin (günlük 1-2 tweet, yüksek kaliteli LLM içerikleri) istatistiksel anomali tespitini geçiştirmesi. Hata modları; Yanlış Pozitif (False Positive) riski: Yeni açılmış yasal bir dernek/fan grubunun doğal koordinasyonunun bot ağlığı olarak sınıflandırılması; Yanlış Negatif (False Negative): “Cyborg” hesapların (insan denetiminde otomatikleştirme) tespit edilememesi. Riskler; Atribüsyon hatalarının diplomatık kriz yaratması, analiz yöntemlerinin operasyonel güvenliğin (OPSEC) ihlal edilmesi sonucu tehdit aktörünün “Burner” (yok edilebilir) altyapıya geçmesi. Çözüm yolları; Çok katmanlı veri füzyonu (API + HTML Scraping + Passive DNS + SSL Sertifika Şeffaflığı), LLM tabanlı “Intent Classification” (niyet sınıflandırması) ile içerik bazlı ayrıştırma, Federated Learning ile veri paylaşmadan modellerin eğitilmesi (Gizlilik Korumalı İşbirlığı) ve “Attribution Grading” (Atribüsyon Derecelendirme: Olası / Muhtemel / Kesin) standartlarının zorunlu hale getirilmesi.

Bolum 7: Guncel Gelismeler ve Gelecek Perspektifi

Son gelişmeler; Büyük Dil Modelleri (LLM’ler) ile “Persona Generation” (kişilik üretimi) ve “Context-Aware Replying” (bağlama duyarlı yanıtlama) yeteneklerinin bot kodlarına (örn. AutoGPT, BabyAGI tabanlı ajanlar) entegre edilmesi, böylece “Turing Test” geçerliği kazandırılması. Platformlar (X, Meta, LinkedIn) “Verified” (Onaylı) rozet sistemlerini kimlik kanıtı (Identity Assurance Level – IAL2/IAL3) yerine ödeme kanıtına çevirerek, bot ağlarının “Legitimacy Laundering” (meşruiyet beyaz yıkama) yapmasını kolaylaştırıyor. Gelecek 5-10 yıl projeksiyonu; “Agentic Web” (Ajanlık Web) ortamında insan kullanıcıların da kişisel AI ajanları (Personal AI Agents) kullanmaya başlaması, bot/insan ayrımının “Otonomi Derecesi” (Level of Autonomy) spektrumuna evrilmesi. Quantum-resistant kriptografi ile C2 kanallarının gizlenmesi (Steganography in Blockchain/SSL), “Digital Twin” (Dijital İkiz) tabanlı simülasyonlarla operasyonların önceden test edilmesi (Red Teaming) standart hale gelecek. Savunma tarafında; “Provenance” (Kaynak/Beyanname) standartları (C2PA – Coalition for Content Provenance and Authenticity) ve sıfır bilgi kanıtı (Zero-Knowledge Proofs) ile kullanıcı kimliğinin açığa çıkmadan doğrulanması (ZK-ID) yeni norm olacak.

Bolum 8: Sikca Sorulan Sorular (SSS)

Soru 1: Basit bir bot hesabı ile “Cyborg” (siber organizma) hesabı ağ analizi açısından nasıl ayrıştırılır?

Cevap: Basit botlar (Simple Bots), deterministik kurallarla (fixed intervals, fixed content) çalışır; ağ metriklerinde “Perfect Periodicity” (mükemmel periyodisite) ve “Zero Variance” (sıfır varyans) gösterirler. Cyborg hesapları ise insan operatörünün müdahalesi (manuel tweet, özel mesaj yanıtı) ile otobetik davranış karıştırır. Ağ analizinde ayrıştırma; Burstiness Parameter (Patlamalılaştırma Parametresi) ve Entropy of Inter-arrival Times (Aralık Zamanlarının Entropisi) hesaplanarak yapılır. İnsan davranışı “Heavy-tailed” (ağır kuyruklu) dağılım gösterirken, basit bot “Poisson/Uniform”, cyborg ise “Bimodal” (iki tepeli – insan modu + bot modu) dağılım sergiler. Ayrıca “Reply/Conversation Depth” (Yanıt/Konuşma Derinliği) metriği; basit botlar neredeyse sıfır derinlikta (sadece broadcast), cyborg’lar ise derin diyaloglara girer.

Soru 2: Graf analizinde “Patient Zero” (Hasta Sıfır / Kaynak Hesap) tespiti için hangi merkeziyet metrikleri en güvenilirdir?

Cevap: Tek bir metrik yeterli değildir; Çok Kriterli Karar Verme (MCDM) yaklaşımı gerekir. Birincil metrik Temporal Betweenness Centrality (Zamansal Köprü Merkeziliği)‘dir; bilginin ağa girdiği ilk nokta, zaman akışına göre en yüksek “earliness” (erkennlik) skoruna sahiptir. İkincil olarak Katz Centrality (yol sayısını azalan ağırlıklarla sayar) ve PageRank (gelen bağlantı kalitesini ölçer) kullanılır. Pratik protokol: 1. Zaman penceresi (time window) daraltılır (ilk 1-6 saat). 2. Hashtag/URL’in ilk paylaşıldığı düğümler filtrelenir. 3. Bu düğümlerin “Out-degree” (çıktı derecesi) ve “Structural Virality” (SI modeline göre yayılım potansiyeli) hesaplanır. En yüksek skorlu, en eski zaman damgalı ve ağın geri kalanına “Shortest Path” (en kısa yol) sağlayan düğüm “Patient Zero” olarak işaretlenir.

Soru 3: Platformlar (X/Twitter, Meta) “Network Visualization” (Ağ Görselleştirmesi) verilerini API vermezse analiz nasıl yapılır?

Cevap: “Graph Sampling” (Ağ Örneklemesi) ve “Ego-Network Analysis” (Ego-Ağ Analizi) teknikleri kullanılır. API erişimi kısıtlıysa; Snowball Sampling (Karta Topu Örneklemesi) ile çekirdek bir kümeden (Seed Set) başlayarak 1. ve 2. derece komşular (Neighbors) toplanır. Random Walk with Restart (RWR) algoritmaları, ağın global topolojisini yerel sorgularla tahmin etmek için kullanılır. Ayrıca; HTML/DOM Parsing (Genel sayfa taraması), Common Crawl / Wayback Machine arşiv verileri, Rapid7 Sonar / Censys gibi genel port/IP tarama verileri (Sunucu tarafı korelasyon için) ve Passive DNS (pDNS) verileri (alan adı çözümleme geçmişi) füzyonlanarak “Sunucu Tarafı Grafı” (Server-Side Graph) inşa edilir. Bu, istemci tarafı (Client-side) API kısıtlamalarını aşar.

Soru 4: “Astroturfing” (Yapay Çim Oluşturma) ile meşru “Grassroots” (Çöpçatan/Halk Hissi) hareketi ağ topolojisiyle nasıl ayrılır?

Cevap: Ayrım Topolojik Otonomi ve Eşzamanlılık (Synchrony) üzerinedir. Grassroots ağları; Scale-Free (Ölçek Serbest) özellik gösterir, “Power Law” dağılımı vardır (az sayıda doğal hub, çok sayıda düşük dereceli düğüm). Topluluklar (Communities) Modüler yapıdadır (Q > 0.3), aralarında zayıf köprüler (Weak Ties) vardır. Astroturf ağları ise Core-Periphery (Çekirçek-Çevre) yapısındadır; Çekirdek (Core) çok yoğundur (Clique benzeri), Çevre (Periphery) ise Çekirdek’e yönlü “Star” motipleri oluşturur. En belirleyici metrik: Temporal Synchronization Index (TSI). Grassroots’ta olay sonrası doğal bir “Reaction Curve” (Tepki Eğrisi – üstel artış, zirve, düşüş) vardır. Astroturf’ta ise “Square Wave” (Kare Dalga) benzeri; kampanya başlangıç anında (T=0) çekirdekten çevreye aniden, yüksek korelasyonla (r > 0.9) amplifikasyon görülür.

Soru 5: LLM (Büyük Dil Modelleri) tabanlı botlar, mevcut “Stylometry” (Yazım Bilgisi) ve “Botometer” gibi araçları nasıl geçiştiriyor ve yeni çözüm nedir?

Cevap: LLM’ler (GPT-4, Llama, vb.), “Stylometric Fingerprint” (Yazım Parmak İzi) olan fonksiyon kelimeleri (stop words), cümce uzunluğu dağılımı, noktalama alışkanlıklarını neredeyse mükemmel bir insan taklidiyle (Perplexity düşük, Burstiness insan benzeri) üretir. Bu da Botometer v4 gibi “Özellik Mühendisliği” (Feature Engineering) tabanlı sınıflandırıcıları (AUC < 0.6 seviyesine) düşürür. Yeni çözüm; Behavioral Graph Embeddings (Davranışsal Graf Gömlemleri) + LLM-based Detection (LLM tabanlı tespit). Yani metin içeriğine (style) değil, metnin ağ içindeki fonksiyonuna (function) bakılır. Graph Neural Networks (GNN – GraphSAGE, GAT) ile hesapların toplolojik rollerini (Structural Role) vektörel uzayda öğreniriz. Buna ek olarak, “LLM Detector” modelleri (Binoculars, DetectGPT, Fast-DetectGPT); metnin “Log-Likelihood” (Olasılık) ve “Perplexity” (Şaşıklık) skorlarının modelin kendi çıkış dağılımıyla uyumunu test eder. Hibrit Yaklaşım: GNN Node Embedding + LLM Semantic Embedding + Temporal Features birleştirilerek “Multimodal Fusion” sınıflandırıcısı (XGBoost/TabNet) eğitilir.

Soru 6: Bir ağ analizi raporunun hukuki/istihbaratı süreçlerde “Kanıt” (Evidence) niteliğinde olabilmesi için hangi adli bilişim (Digital Forensics) standartları şarttır?

Cevap: Rapor; ISO/IEC 27037 (Dijital Kanıt Tanımlama, Toplama, Koruma) ve ISO/IEC 27041 (Dijital Kanıt Olay Yönetimi) standartlarına uygun olmalıdır. Zincir şunları içerir: 1. Veri Edinimi (Acquisition): API yanıtlarının (JSON) SHA-256 Hash‘lenmesi, WORM Depolama‘ya yazılması, Zaman Damgası Otoritesi (RFC 3161 – TSA) ile zamanlanması. 2. Zincir Devamlılığı (Chain of Custody): Her işlem adımının (ETL, Analiz, Görselleştirme) kim tarafından, ne zaman, hangi yazılım sürümü (Docker Image Hash) ile yapıldığının Audit Log‘unda (Immutable Ledger/Blockchain Anchor) kaydedilmesi. 3. Tekrarlanabilirlik (Reproducibility): Analiz kodlarının (Jupyter Notebooks / Python Scripts), bağımlılıklarının (requirements.txt / Conda Env) ve rastgelelik kaynaklarının (Random Seeds) paylaşılması. 4. Uzman Tanık Raporu (Expert Witness Report): Yöntemolojinin “Daubert Standardı” (Bilimsel Geçerlilik Testi) kriterlerini (Test edilebilirlik, Eşdüzey inceleme, Hata oranı, Standartlar, Topluluk kabulü) karşıladığını kanıtlayan metin. Platform ToS ihlamaması için “Publicly Available Information (PAV)” kapsamında hareket edilmesi şarttır.

Bolum 9: Temel Terimler Sozlugu

Graph Analysis (Ağ Analizi): Düğümler (Nodes/Vertices) ve kenarlardan (Edges/Links) oluşan matematiksel yapıların (Graf Teorisi), sistemlerin yapısal özelliklerini (merkezilik, topluluk, yayılım yolları) niceliksel ve niteliksel olarak ortaya çıkarma disiplini.

Botnet (Bot Ağı): Ortak bir komuta kontrol (C2) altyapısı altında, otomatikleştirilmiş betikler (scripts) veya yazılımlar (agents) aracılığıyla insan taklidi yaparak kolektif eylem (amplifikasyon, spam, DDoS, perception shaping) gerçekleştiren hesap topluluğu.

Betweenness Centrality (Ara Merkezilik / Köprü Merkeziliği): Bir düğümün, ağdaki diğer tüm çiftler arasındaki en kısa yolların ne kadarı üzerinde yer aldığını gösteren metrik. Bilgi akışını kontrol eden “Kapı Görevlileri” (Gatekeepers) veya “Ajanlar”ı tespit etmek için kritik öneme sahiptir.

Astroturfing (Yapay Çim Oluşturma): Bir organizasyonun, bağımsız bir halk hareketi (Grassroots) olduğu izlenimi vermek için, sahte kimlikler (botlar/sockpuppets) veya ödüllü aktörler kullanarak yapay bir destek/yayılım yaratan politikletişim tekniği.

Structural Virality (Yapısal Virallik): (Goel et al., 2016) Bir içeriğin yayılımının, tek bir kaynaktan “Yayılma” (Broadcast – Yıldız yapısı) mı yoksa kullanıcıdan kullanıcıya “Zincirleme” (Viral – Ağ yapısı) mı olduğunu ölçen, ağ yapısının derinlik-genişlik oranına dayalı metriktir.

Attribution (Atribüsiyon / Suçlayıcı Belirleme): Bir siber olayı (bot ağı, siber saldırı, bilgi operasyonu) belirli bir tehdit aktörüne (APT grubu, istihbarat teşkilatı, PR ajansı) bağlama sürecidir. “Technical” (Malware/IP), “Operational” (Modus Operandi/TTP) ve “Strategic” (Motive/Geopolitik) katmanlarda yapılır.

Sockpuppet (Çorap Kuklası): Gerçek bir kişi tarafından kontrol edilen, kimliğini gizleyip bağımsız bir üçüncü şahıs gibi davranan sahte çevrimiçi kimlik. Botlardan farkı; insan zekası (Human-in-the-loop) kullanmasıdır.

Bolum 10: Sonuc ve Stratejik Degerlendirme

Dijital ikna ve algı operasyonları, artık içerik tabanlı bir savaş alanından; topoloji tabanlı bir hakimiyet alanına evrilmiştir. Bu çalışmada özetlenen “Adım Adım Kontrol ve Doğrulama Pro