Bolum 1: Kapsam, Tanim ve Temel Yaklasim
Bu çalışma, dijital alanlarda organize edilmiş sahte kimlikler (bot, sybil, troll çiftliği) aracılığıyla yürütülen bilişsel güvenlik ihlallerini, ağ bilimi (Network Science) metodolojileriyle tespit etme, haritalama ve attribüsyon (kaynak belirleme) protokollerini kapsar. Ontolojik çerçeve, “aktör-ağ teorisi” (Actor-Network Theory) ve “graf teorisi”nin (Graph Theory) kesişiminde kurulmuştur; düğümler (nodes) hesapları, kenarlar (edges) ise etkileşimleri (retweet, mention, reply, co-url, co-hashtag) temsil eder. Temel yaklaşim, anomali tespitinde (Anomaly Detection) yapısal (topolojik), zaman serisi (temporal) ve içerik tabanlı (semantic) çok boyutlu vektörlerin birleştirilmesiyle “koordineli davranış” (Coordinated Inauthentic Behavior – CIB) imzasını ayırt etmektir. Parametreler; derece merkeziyeti (degree centrality), aralık merkeziyeti (betweenness), kümeleme katsayısı (clustering coefficient) ve modülerlik (modularity) sınıflandırma optimizasyonu ile belirlenir. Bu protokol, jeopolitik algı operasyonları, seçim müdahaleleri ve finansal manipülasyon kampanyalarının erken uyarı sistemleri için standartlaştırılmış bir doğrulama zinciri sunar.
Bolum 2: Temel Ilkeler ve Calisma Mekanizmasi
Mekanizma, platform API’leri (Twitter/X API v2, Meta Graph API, Telegram Bot API) üzerinden ham veri toplama (ingestion) ile başlar. Veri; “1-hop” (doğrudan etkileşim) ve “2-hop” (ortak komşuluk) komşuluk matrislerine dönüştürülerek yönlü/ağırlıklı graf (Directed Weighted Graph) oluşturulur. Bot ağlarının çalışma fiziği, “astroturfing” (yapay çim) prensibine dayanır: Merkezi bir komuta-kontrol (C2) altyapısı veya dağıtık konsensüs mekanizmasıyla (örn. Discord/Telegram koordinasyon kanalları), binlerce hesap senkronize bir şekilde aynı içerik vektörünü yayar. Sebep-sonuç ilişkisi; “gürültü enjeksiyonu” (noise injection) -> “algoritmik amplifikasyon” (algorithmic amplification) -> “organik benimsenme” (organic adoption) zincirini takip eder. Mühendislik açısından; hesap oluşturma zaman damgaları (temporal clustering), cihaz parmak izi (device fingerprint) benzerliği, IP/ASN blokları ve tarayıcı otomasyon artefaktları (Selenium, Puppeteer leaks) korelasyon matrisine girer. Topluluk tespiti (Community Detection) için Louvain veya Leiden algoritmaları, modülerliği maksimize ederek “bot kümesi”ni (bot cluster) ayırır; bu kümelerin iç yoğunluğu (internal density) ve dış bağlantı seyreklik (external sparsity) sahte koordinasyonun kanıtıdır.
Bolum 3: Metodoloji, Standartlar ve Protokoller
Analiz, NATO CCDCOE’nin “Tallinn Manual 2.0” siber operasyon çerçevesi, EUvsDisinfo metodolojisi ve DARPA SocialSim program standartlarına uygunlukta yürütülür. Veri toplama için GDPR Madde 89 (araştırma istisnası) ve platform Hizmet Şartları (ToS) uyumlu “kamu verisi” (public data) prensibi esas alınır. Standart işlem prosedürü (SOP): 1) Kapsam Tanımlama (Anahtar kelime, hashtag, URL, aktör listesi), 2) Veri Çekimi (Academic Research Track / Full-Archive Search), 3) Graf İnşası (NetworkX, igraph, GraphTool), 4) Özellik Mühendisliği (Botometer-V4, BotHunter, custom heuristics), 5) Topluluk Tespiti (Infomap/Leiden), 6) Attribüsyon (İnfrastruktur örtüşmesi: WHOIS, SSL sertifikaları, hosting ASN). Ölçüm metrikleri; Precision/Recall/F1 (sınıflandırma), Adjusted Rand Index (kümeleme kalitesi), AUC-ROC (anomali skoru). Protokol, “Red Team/Blue Team” simülasyonlarıyla sürekli doğrulanır; Blue Team (savunma) graf tabanlı gölge IT altyapısını (Shadow IT) modelleyerek saldırı vektörlerini öngörür.
Bolum 4: Kapsamli Parametre ve Degerlendirme Tablosu
| Parametre | Olcut / Deger | Metrik | Stratejik Etki |
|---|---|---|---|
| Derece Merkeziyeti (Degree Centrality) | Giren/Giden Kenar Sayısı | Normalize Edilmiş Skor (0-1) | Súper-yayıncı (Super-spreader) hesapların tespiti; ağdayanıklılığını kırmak için hedef önceliklendirme. |
| Aralık Merkeziyeti (Betweenness Centrality) | En Kısa Yol Geçiş Sayısı | Freeman Normalizasyonu | Köprü (bridge) hesapların ifşası; farklı topluluklar arası koordinasyon kanallarının kesilmesi. |
| Zamsal Yoğunluk (Temporal Density) | Saniye/Başına Etkileşim | Poisson Dağılımı Sapması (Z-Skoru) | “Astroturfing” patlamalarının (burst detection) otomatik tetiklenmesi; organik trendlerden ayırma. |
| Kümeleme Katsayısı (Clustering Coeff.) | Yerel Üçgen Kapanış Oranı | Watts-Strogatz Modeli Karşılaştırması | Bot çiftliklerinin “echo chamber” (yankı odası) yapısının kanıtlanması; organik ağlarda düşük, bot ağlarda çok yüksek. |
| Modülerlik (Modularity – Q) | Topluluk Yapısı Gücü | Newman-Girvan Q > 0.3 | Koordineli kampanya varlığının istatistiksel anlamlılığı; Q > 0.7 “saskin” (stiff) bot ağı gösterir. |
| Bot Olasılık Skoru (Bot Score) | Makine Öğrenmesi Çıktısı | Botometer-V4 / Custom Ensemble | Hesap seviyesinde “sahte kimlik” kanıtı; yasal süreçlerde dijital delil olarak kabul edilebilir eşik (örn. >0.8). |
| İçerik Benzerliği (Cosine Sim.) | TF-IDF / Embedding Vektörleri | Cosine Similarity > 0.85 | Kopyala-yapıştır (copy-pasta) ve şablon tabanlı mesajlaşmanın tespiti; semantik fingerprints. |
| Altyapı Örtüşmesi (Infra Overlap) | IP/ASN/WHOIS/SSL Jaccard İndeksi | Jaccard Index > 0.6 | Farklı platformlardaki hesapların tek bir operatöre/varlığa (threat actor) bağlanması (Attribution). |
| Yönlü Ağ Motifleri (Network Motifs) | 3-4 Düğümlü Alt-Graf Frekansı | Z-Skoru (Rastgele Ağ Karşılaştırması) | “Yıldız” (Star), “Çember” (Ring), “Çift Yönlü” (Reciprocal) motiflerinin operasyonel imza (TTP) olarak sınıflandırılması. |
| Etki Alanı Yaşı (Domain Age) | WHOIS Kayıt Tarihi – Şimdi | Gün Cinsinden (Medyan < 30 gün) | “Disposable” (tek kullanımlık) altyapı kullanımının kanıtı; uzun vadeli operasyonlarda “aged accounts” (yaşlı hesap) stratejisi ayrımı. |
| Platformlar Arası Senkronizasyon | Zaman Damgası Farkı (Δt) | Pearson Korelasyon / DTW | Çok platformlu (Cross-platform) operasyonların kanıtı; X -> Telegram -> YouTube yayılım hiyerarşisi. |
Bolum 5: Uygulama Alanlari ve Pratik Senaryolar
Bu protokol, 2023 Türkiye seçim sürecinde tespit edilen “Hashtag Hırsızlığı” (Hashtag Hijacking) operasyonlarında başarıyla uygulanmıştır;’opposition etiketi altına binlerce bot hesabı enjekte edilerek organik görüşlerin bastırılması (shadow banning via algorithmic dilution) grafiksel olarak kanıtlanmıştır. Jeopolitik alanda; Rusya-Ukrayna savaşı bağlamında “Doppelgänger” kampanyası, Fransa ve Almanya hedefli klon haber siteleri (mirror sites) ve bunları paylaşan bot ağı, SSL sertifika şeffaflığı (Certificate Transparency Logs) ve paylaşım grafiği örtüşmesiyle attribüe edilmiştir. Finansal sektörde; “Pump and Dump” kripto para şemaları, Telegram kanallarından X’e (Twitter) yönlendirilen koordineli “shilling” aktivitesi, zaman serisi korelasyonu (Granger Causality) ile manipülasyon anı (t=0) tespit edilerek erken uyarı sinyali üretilmiştir. Kurumsal güvenlikte; rakip firmaların marka itibarını hedef alan “Review Bombing” ve “Astroturfed Complaint” kampanyaları, müşteri hizmetleri etkileşim grafiğinde anomali olarak izole edilerek hukuki süreçlere dijital delil paketi (Chain of Custody) hazırlanmıştır.
Bolum 6: Karsilasilan Zorluklar, Riskler ve Cozum Yolları
Birincil operasyonel darboğaz, platformların API erişim kısıtlamaları (rate limiting, enterprise tier maliyeti) ve veri zenginliğinin azaltılmasıdır (örn. X API v2 Academic Research erişiminin kısıtlanması). Çözüm: Federalist Learning (Federal Öğrenme) ile dağıtık veri toplama ve sentetik veri artırma (SMOTE-GAN) ile model eğitimi. İkinci risk, “Adversarial ML” (Düşmanlı Makine Öğrenmesi); bot operatörleri, graf tespit algoritmalarını (örn. Graph Neural Networks – GNN) kandırmak için “graph poisoning” (kenar enjeksiyonu/silme) ve “feature evasion” (davranışsal gürültü ekleme) kullanır. Çözüm: Robust GNN mimarileri (GNNGuard, RGCN) ve sürekli “Red Team” pen testleri. Üçüncü zorluk, yasal/etik çerçeve; GDPR, KVKK ve platform ToS uyumu içinde “kişisel veri” tanımının genişlemesi analizi engelleyebilir. Çözüm: “Privacy-Preserving Graph Analytics” (Diferansiyel Gizlilik – Differential Privacy, Secure Multi-Party Computation – SMPC) protokolleriyle anonimleştirilmiş graf analitiği. Dördüncü risk, attribüsyonda “False Flag” (Yanlız Bayrak) operasyonları; altyapı örtüşmesi sahte kanıtlar bırakılarak yapılır. Çözüm: MITRE ATT&CK® for Influence Operations (ATT&CK® M100) çerçevesinde TTP (Taktik, Teknik, Prosedür) behavioral fingerprinting ile altyapı tabanlı attribüsyondan davranış tabanlı attribüsyona geçiş.
Bolum 7: Guncel Gelismeler ve Gelecek Perspektifi
2024-2025 döneminde, Büyük Dil Modelleri (LLM’ler) bot operasyonel maliyetini sıfıra indirmiştir; GPT-4/Claude 3 tabanlı ajanlar (agents), insanlardan ayırt edilemez “persona” yönetimi, bağlamsal diyalog tutma ve platform güvenlik filtrelerini bypass etme (jailbreaking) yeteneğine sahiptir. Bu, klasik “heuristik/istatistiksel” bot tespitini (Botometer tarzı) işlevsiz hale getirmiştir. Yeni paradigma: Davranışsal Biyometrik Graf Analitiği (Behavioral Biometric Graph Analysis). Klavye dinamikleri, fare hareketleri, dokunmatik ekran basınç profilleri (mobile sensors) graf düğüm özellikleri olarak entegre edilir. Gelecek 5-10 yıl projeksiyonu: “Otonom Bilişsel Ajan Ağları” (Autonomous Cognitive Agent Networks) kendiliğinden evrilen (evolutionary algorithms) stratejilerle hedef kitlenin bilişsel haritasını (cognitive map) öğrenip manipüle edecektir. Savunma tarafında; “Digital Twin” (Dijital İkiz) simülasyonlarıyla toplumun bilgi ekolojisi modellenerek, operasyon etkisi ex-ante (önceden) tahmin edilecek ve “Pre-bunking” (Önceden Aşılamma) stratejileri otomatikleştirilecektir. Kvantum dayanıklı kriptografi (PQC) tabanlı kimlik doğrulama (DID/VC – Decentralized Identifiers/Verifiable Credentials), sahte hesap oluşturmanın kök nedenini (Sybil resistance) ortadan kaldıracak tek kalıcı çözümdür.
Bolum 8: Sikca Sorulan Sorular (SSS)
Soru 1: Graf analizi, tek bir şüpheli hesabı bot mu diye belirlemek için yeterli midir?
Cevap: Hayır. Graf analizi “bağlamsal olasılık” sağlar, tekil kanıt değildir. Bir hesap yüksek bot skoru alsa bile (örn. Botometer > 0.9), bu bir “cyborg” (yarı otomatize, yarı insan) hesabı olabilir. Kesin sınıflandırma için; graf topluluk üyeliği (community membership), zaman damgası anormallikleri (temporal anomalies), cihaz parmak izi (device fingerprint) ve içerik semantik tutarlılığı (semantic consistency) birleştirilen Çok Modallı Birleşim Modeli (Multi-modal Fusion Model) gerekir. Yasal delil standardında “makul şüphe ötesinde kanıt” için altyapı atribüsyonu (IP/ASN/WHOIS örtüşmesi) zorunludur.
Soru 2: Platform API kısıtlamaları (rate limits) akademik/güvenlik araştırmalarını nasıl etkiliyor?
Cevap: X (Twitter) API v2’de Academic Research Track’ın kapanması ve Enterprise tier’ın aylık $42K maliyeti, tam arşiv (full-archive) erişimini neredeyse imkansız hale getirdi. Bu, “gölge veri” (shadow data) sorununu yaratıyor; araştırmacılar sadece %1’oranında örneklem (sampled stream) ile çalışmak zorunda kalıyor. Çözüm yolları: 1) Common Crawl / Internet Archive gibi üçüncü taraf arşivlerden retrospektif graf inşası, 2) Platformlar Arası Çapraz Doğrulama (Cross-platform validation: Reddit, Telegram, YouTube, TikTok API’leri daha açıktır), 3) Federalist Veri Toplama (kurumlar arası veri paylaşım protokolleri – Örn. EU DSA Madde 40 erişim hakları).
Soru 3: “False Positive” (Yanlış Pozitif) riski nasıl minimize edilir? Gerçek influencer’lar bot mu sanılabilir?
Cevap: Yüksek etkileşimli meşru influencer’lar (high degree, high betweenness) graf metriklerinde bot kümesiyle örtüşebilir. Ayırım için: 1) Ego-Network Yapısı: Influencer’ların komşuları genellikle düşük merkeziyetli, heterojen (çeşitli ilgi alanları) organik kullanıcılardır; bot komşuları ise yüksek merkeziyetli, homojen (aynı kampanya) ve düşük entropilidir. 2) Zaman Serisi Entropisi: İnsan davranışı “burst-y” (patlamalı) ve ritmik (sirkadian) olur; botlar deterministik veya rastgele (uniform) dağılım gösterir. 3) İçerik Çeşitliliği (Semantic Diversity): Influencer’lar geniş konu yelpazesi; botlar dar, kampanya odaklı vektör uzayında kümelenir.
Soru 4: Telegram gibi şifreli/kapalı platformlardaki bot ağları nasıl analiz edilir?
Cevap: Telegram’da genel kanallar (public channels) ve kullanıcı botları (user bots) API erişimine açıktır. Telethon / Pyrogram kütüphaneleri ile “Userbot” (gerçek kullanıcı hesabı simülasyonu) yöntemiyle mesaj ID’leri, ileri yönlendirme (forward) ağları, reaksiyon (reaction) grafiği ve paylaşılan medya hash’leri (perceptual hashing – pHash) toplanır. Özel gruplar (private groups) için yasal süreçlerde “veri saklama emri” (preservation order) ile platformdan log talep edilir. Kritik metrik: İleri Yönlendirme Derinliği (Forward Depth) ve Kaynak Kanal Merkeziyeti (Source Channel Centrality); manipülasyon zincirinin kökünü (root cause) bulur.
Soru 5: LLM tabanlı “Cyborg” hesapları (Human-in-the-loop) nasıl tespit edilir?
Cevap: Bu en zorlu senaryodur çünkü graf yapısı organik görünür (insan müdahalesi var). Tespit vektörleri: 1) Yanıt Gecikmesi Dağılımı (Response Latency Distribution): LLM inference süresi (GPU kuyruğu, token uzunluğu) belirli bir alt/sınır aralığında deterministik gecikme yaratır; insanlar daha varyanslıdır. 2) Stilometrik Tutarlılık (Stylometric Consistency): LLM’ler “ortanca” (average) bir yazım tarzı sergiler; insanlar günlük ruh hali, yorgunluk, klavyeye göre değişen mikro-stilistik varyans gösterir (Burrows’ Delta, Writeprints). 3) Bilgi İşleme Hataları (Hallucination Artifacts): LLM’ler gerçek zamanlı olaylarda bilgi kesiti (knowledge cutoff) hataları veya “confabulation” yapar; bu hatalar graf içinde “anomali kümesi” oluşturur.
Soru 6: Bu analizler yasal süreçlerde (mahkemede, seçim yüksek kurullarında) delil olarak kabul edilir mi?
Cevap: Evet, şartlarıyla. Dijital Delil Yönetimi (Digital Evidence Management – ISO/IEC 27037) standartlarına uygunluk şarttır: Veri toplama scriptlerinin hash’lenmesi (SHA-256), zaman damgalı loglama (RFC 3161 Time Stamping), Chain of Custody (Zincir Mülkiyet) formları ve uzman raporu (Forensic Report). Türkiye’de HMK Madde 134 ve Kanun Hükmünde Kararname (KHK) 6698 çerçevesinde, “Bilgi Sistemleri Uzmanı” raporu yargıç için bağlayıcı olmasa da “özgür kanıt değerlendirmesi” kapsamında esas alınır. Uluslararası mahkemelerde (ICC, ECtHR) Berkeley Protocol on Digital Open Source Investigations standardı referans alınır.
Bolum 9: Temel Terimler Sozlugu
Koordineli Sahte Davranış (Coordinated Inauthentic Behavior – CIB): Birden fazla hesabın, kimliklerini gizleyerek veya sahte kimlikler kullanarak, ortak bir hedef için (politik etki, finansal kazanç, Propaganda) senkronize hareket etmesi. Platform politikalarında (Meta, X, TikTok) yasaklanmış faaliyet kategorisidir; “bot” tanımından genişdir, insan troll çiftliklerini de kapsar.
Sybil Saldırısı (Sybil Attack): Bir aktörün, ağda birden fazla kimlik (Sybil nodes) oluşturarak oylama, güven, reputasyon veya konsensüs mekanizmalarını manipüle etmesi. Dijital ikna operasyonlarında; binlerce bot hesabı oluşturup bir hashtag’i “trend” yapmak, bir içeriği “viral” göstermek veya bir hedefi “rapor bombardımanı” yapmak için kullanılır.
Graf Ömürlüğü / Motif (Graph Motif / Network Motif): Ağ içinde istatistiksel olarak anlamlı derecede sık tekrar eden, küçük ölçekli (genellikle 3-5 düğümlü) alt-graf yapıları. Örn: “Feed-forward loop” (ileri beslemeli döngü) bilgi yayılımını hızlandırır; “Bi-fan” yapısı iki kaynağın aynı hedefleri etkilediğini gösterir (koordinasyon kanıtı).
Attribüsyon (Attribution): Bir siber/bilişsel operasyonun sorumlu aktörünü (Devlet, APT grubu, Şirket, Birey) belirleme süreci. Teknik attribüsyon (altyapı, malware, TTP), operasyonel attribüsyon (modus operandi, hedefleme mantığı) ve stratejik attribüsyon (jeopolitik motive, fayda analizi) üç seviyesinde yapılır.
Önceden Aşılamma / Pre-bunking: Yanlış bilgi yayılmasından önce, hedef kitlenin zihnine “bilişsel aşı” yaparak manipülasyon tekniklerini (örn. “duygusal kışkırtma”, “sahte uzman”, “bağlamdan çıkarma”) öğretme stratejisi. Graf analizi ile riskli naratif vektörleri tespit edilip, hedef kitleye mikro-hedeflı (micro-targeted) eğitim içeriği sunularak dayanıklılık (resilience) artırılır.
Diferansiyel Gizlilik (Differential Privacy – DP): Graf verisi paylaşılırken/analiz edilirken bireysel kullanıcı verilerinin ifşa edilmesini matematiksel olarak garanti altına alan çerçeve. Graf sorgularına (örn. derece dağılımı, üçgen sayısı) kontrollü Gauss/Laplace gürültüsü eklenerek; global ağ yapısı korunurken bireysel düğüm gizliliği sağlanır. GDPR/KVKK uyumlu akademik paylaşım için zorunludur.
Bolum 10: Sonuc ve Stratejik Degerlendirme
Ağ analizi (Graph Analysis), dijital ikna operasyonlarının “gizli elini” (hidden hand) ortaya çıkaran tek yöntemsel yaklaşımdır; içerik moderasyonu (content moderation) tek başına yetersiz kalmaktadır çünkü modern operasyonlar “içerik” değil “yapıyı” (structure) hedefler. Bu protokol, veri toplamasından attribüsyona kadar end-to-end (uçtan uca) bir zincir sunarak, karar vericilere (Devlet, Kurum, Sivil Toplum) eyleme geçirilebilir istihbarat (actionable intelligence) sağlamayı hedefler. Stratejik çıkarımlar şunlardır: 1) Reaktiften Proaktife Geçiş: Graf anomalileri (temporal bursts, motif shifts) operasyonun “pull the trigger” anından haftalar önce tespit edilebilir; bu “Pre-bunking” penceresi açar. 2) Platform Bağımsızlığı: API kısıtlamaları tek platformu körleştirse bile, çapraz platform graf fusionu (Cross-platform Graph Fusion) operasyonun omurgasını (backbone) kırar. 3) Yasal Dayanıklılık: ISO 27037 / Berkeley Protocol standartlarında üretilen graf delilleri, yargıçlık takdirine (judicial discretion) dayanıklı kanıt unsuru oluşturur. 4) Teknolojik Yarış: LLM tabanlı ajanlar (GenAI bots) istatistiksel tespiti boğduğu için, savun
