Bolum 1: Kapsam, Tanim ve Temel Yaklasim
Bu çalışma, dijital ikna ve algı operasyonlarının (IPO) stratejik omurgasını oluşturan bot hesap ağlarının (Botnets), Graf Teorisi (Graph Theory) tabanlı Ağ Analizi (Network Analysis) yöntemleriyle nasıl ifşa edildiğini, bu sürecin maliyet-süre dengesini, metodolojik standartları ve yasal/mühendislik sınırlarını kapsamlı bir ontolojik çerçevede ele alır. Konu, sosyolojik mühendislik vektörleri, koordineli davranışsızlık (Coordinated Inauthentic Behavior – CIB) kalıpları ve yapay zeka destekli içerik üretim mekanizmaları ile kesişir. Temel yaklaşim, ağ topolojisinin (topology) statik ve dinamik metriklerini (derece merkeziyeti, aralık merkeziyeti, eigenvector centrality, modularity/class coefficient) kullanarak “organik” görünüm üreten sentetik kümeleri (synthetic clusters) ayırt etmektir. Analiz birimi; düğümler (hesaplar), kenarlar (etkileşim: retweet, mention, reply, quote) ve zaman damgalı ağırlıklı yönlü graf yapısıdır. Çalışma, NATO STRATCOM COE, EUvsDisinfo ve DHS/CISA raporlarında tanımlanan “Bilgi Ortamı Operasyonları” (IEO) doktrini ile akademik literatürdeki “Astroturfing” ve “Sockpuppetry” tanımlarını birleştirerek, mühendislik perspektifinden tekrarlanabilir bir ifşa protokolü önerir.
Bolum 2: Temel Ilkeler ve Calisma Mekanizmasi
Bot ağlarının çalışma mekanizması, platform algoritmalarının “virallik” (virality) ve “benzerlik” (similarity) heuristiklerini sömürerek, bilgi yayılımını (information diffusion) Independent Cascade Model (ICM) veya Linear Threshold Model (LTM) üzerinden manipüle etmeye dayanır. Fiziksel/mühendislik katmanında; sunucu taraflı otomasyon (API tabanlı), tarayıcı otomasyonu (Selenium, Puppeteer, Playwright) ve mobil cihaz çiftlikleri (device farms) kullanılarak “insansı” parmak izi (fingerprint) ve davranışsal biyometri (typing cadence, scroll depth, dwell time) taklit edilir. Ağ dinamikleri; “Yıldız Topolojisi” (Merkezi komuta-merkezli), “Kuyruk Topolojisi” (Zincirleme amplifikasyon) veya “Küme Topolojisi” (Echo chamber oluşturma) şeklinde ortaya çıkar. Sebep-sonuç ilişkisi; girdi (içerik enjeksiyonu) -> işleme (koordineli amplifikasyon) -> çıktı (trend topic manipülasyonu/algı değişimi) döngüsünü takip eder. Kritik mühendislik kısıtı, platformların “Rate Limiting” ve “Anomaly Detection” (örn. Twitter/X’in Heavy Hitters algoritması, Meta’nın Deep Entity Classification) mekanizmalarını aşmak için “Low-and-Slow” (düşük hızlı, uzun süreli) stratejilerinin benimsenmesidir.
Bolum 3: Metodoloji, Standartlar ve Protokoller
Analiz metodolojisi; veri toplama (API scraping, Firehose/Decahose erişimi, Academic Research Track), veri temizleme (de-duplication, spam filtering), graf inşası (Weighted Directed Graph $G=(V, E, W)$), topluluk tespiti (Louvain, Leiden, Infomap algoritmaları), anomali skorlama (Isolation Forest, Local Outlier Factor, Graph Neural Networks – GNN) ve nitel doğrulama (OSINT, WHOIS, TLS sertifika analizi) aşamalarını içeren bir pipeline’dır. Standartlar: NATO STANAG 2525 (Semboloji), STIX/TAXII (Tehdit İstihbaratı Paylaşımı), MISP (Malware Information Sharing Platform) veri modelleri; IEEE 27001 (Veri Bütünlüğü), GDPR Madde 25 (Design Privacy) ve Türkiye’de KVKK Madde 12 (Veri Güvenliği) uyumluluğu zorunludur. Protokoller: MITRE ATT&CK® Framework (T1585.001 Social Media Accounts, T1584.005 Botnet) ile TTP (Tactics, Techniques, Procedures) eşleştirmesi yapılır. Ölçüm metrikleri: Modularity ($Q > 0.3$), Assortativity Coefficient ($r < 0$ disassortative mixing), Burstiness Parameter ($B \approx 1$), ve Temporal Clustering Coefficient kullanılarak koordinasyon kanıtı üretilir.
Bolum 4: Kapsamli Parametre ve Degerlendirme Tablosu
| Parametre | Olcut / Deger | Metrik | Stratejik Etki |
|---|---|---|---|
| Ağ Yoğunluğu (Density) | $0.001 – 0.05$ (Seyrek) vs $>0.1$ (Yoğun/Küme) | $ | E |
| Modülerlik (Modularity Q) | $Q > 0.4$ (Güçlü Topluluk Yapısı) | Louvain/Leiden Optimizasyonu | Yüksek Q, koordineli davranışsızlığın (CIB) en güçlü göstergesidir. |
| Ortalama Yol Uzunluğu | $L \approx \ln(N)/\ln( |
BFS tabanlı hesaplama | Bot ağları “Yıldız” topolojisinde $L \approx 2$; organik ağlarda $L > 4$ civarındadır. |
| Derece Dağılımı (Degree Dist.) | Power-Law ($\gamma \approx 2-3$) vs Poisson | Kolmogorov-Smirnov Testi | Bot “Amplifikatör” hesaplarda Out-Degree aşırı yük (heavy-tail) gösterir. |
| Zamsal Patlama (Burstiness B) | $B = (\sigma – \mu) / (\sigma + \mu)$ | Inter-event Time Distribution | $B \to 1$ (Makinesal periyodiklik); Organik $B \approx 0$ (Poisson/Weibull). |
| Eigenvector Merkeziyeti | Top %1 Hesaplar $\lambda_{max}$’e yakın | Spektral Analiz | “Etki Merkezleri” (Influencer/Handler) tespiti için kritik. |
| İçerik Benzerliği (SimHash) | Hamming Distance $< 3$ (Neredeyse Aynı) | MinHash / SimHash (Jaccard) | Kopyala-yapıştır / Şablon tabanlı içerik üretimini kanıtlar. |
| Maliyet / 10K Bot / Ay | $500 – 5.000$ USD (Hizmet Kalitesine Göre) | Piyasa Fiyatı (Dark Web/Telegram) | Düşük maliyet, operasyonun “Asimetrik Savaş” doğasını güçlendirir. |
| Kurulum Süresi (Time-to-Op) | $24$ Saat – $2$ Hafta (Aged Accounts) | Hesap Yaşı / Isınma Süresi | “Aged” (Yaşlı) hesaplar güven skorunu (Trust Score) atlatır. |
| Yasal Risk Skoru (TR) | Çok Yüksek (TCK M. 217, 218, KVKK M. 12) | Cezai Para Ceza / Hapis | Operatör ve alıcı taraf için hukuki sorumluluk (Strict Liability) doğar. |
| Platform Tespit Süresi (MTTD) | $72$ Saat – $30$ Gün (Stratejiye Bağlı) | Mean Time To Detect | “Low-and-Slow” MTTD’yi aylara uzatır; “Blitzkrieg” saatlere indirir. |
| GNN Sınıflandırma F1-Skoru | $0.92 – 0.98$ (GraphSAGE / GAT) | Precision / Recall / F1 | Yapay zeka tabanlı savunma en etkili katmandır; False Positive riski yönetilmeli. |
Bolum 5: Uygulama Alanlari ve Pratik Senaryolar
Uygulama alanları; seçim güvenliği (2020 ABD, 2023 Türkiye seçim sürecinde tespit edilen “İnorganik Trend” kümeleri), kriz anında algı yönetimi (Deprem sonrası “Yalan Haber” amplifikasyon ağları: Örn. #TürkiyeYanıyor etiketi altındaki koordineli retweet botları), finansal manipülasyon (Kripto “Pump-and-Dump” bot넷leri: Binance/FTX çöküşlerinde wash trading ağları), askeri operasyonlar (NATO Doğu Flankı’nda Rus IRA tabanlı “Doppelganger” kampanyası: Sahte haber siteleri + bot amplifikasyonu) ve marka itibar saldırıları (Rekabetçi firmaların “Review Bombing” ve “Astroturfing” kampanyaları) şeklinde çeşitlilik gösterir. Pratik senaryoda; bir “Handler” (Yönetici) 500 “Amplifikatör” (Bot) ve 5000 “Sleeper” (Uyku modunda) hesabıyla bir haber linkini 15 dakikada 10.000 etkileşime taşır. Graf analizi (Gephi/NetworkX/Neo4j Bloom) ile “Amplifikatör” kümesinin ortak IP blokları (ASN analizi), ortak kayıt tarihleri ve birebir aynı tweet metinleri (SimHash distance 0) paylaştığı tespit edilir. Bu kanıtlar, platformun “Platform Manipülasyonu ve Spam” politikası kapsamında toplu hesap askıya alma (Mass Suspension) ve yasal süreçte “Dijital Delil” (Digital Evidence – Hakimlik Kanunu M. 243) olarak sunulur.
Bolum 6: Karsilasilan Zorluklar, Riskler ve Cozum Yollari
Operasyonel darboğazlar; veri erişim kısıtlamaları (X API fiyatlandırması, Reddit API değişiklikleri, GDPR “Right to be Forgotten” silinmeleri), “Evasion Techniques” (Yüzleşme Kaçınma: Headless browser detection bypass, residential proxy rotasyonu, CAPTCHA çiftlikleri), ve “False Positive” riski (Gerçek kullanıcıların “Super-spreader” davranışı bot olarak yanlış sınıflandırılması). Hata modları; Graph Sampling Bias (Snowball sampling ile ağın sadece bir köşesinin görülmesi), Temporal Drift (Ağ topolojisinin zamanla evrimiyle modelin bozulması – Concept Drift), ve Adversarial Attacks (Saldırganın GNN modeline “Poisoning” yaparak sınıflandırıcıyı kör etmesi). Risk faktörleri; yasal süreçlerde “Zincir Şeması” (Chain of Custody) bozulması, KVKK/GDPR ihlali riski (Kişisel veri işleme meşruiyeti), ve attribution (kime ait) zorluğu. Proaktif çözümler: Federated Learning ile merkezi veri toplama olmadan model eğitimi, Differential Privacy (Epsilon-Delta) ile veri anonimizasyonu, MITRE D3FEND (D3-Graph Analysis) countermeasure’larının entegrasyonu, ve “Human-in-the-Loop” (HITL) doğrulama katmanı ile analist onayı zorunlu kılma.
Bolum 7: Guncel Gelismeler ve Gelecek Perspektifi
Son gelişmeler; Büyük Dil Modelleri (LLM’ler: GPT-4o, Llama 3, Nemotron 3 Ultra) ile “Zero-Shot” bot içerik üretimi ve “Persona Consistency” (Kişilik Tutarlılığı) sağlanması, bu da metin tabanlı tespiti (Stylometry) imkansızlaştırıyor. Buna karşılık; Multimodal Graph Neural Networks (MM-GNN) metin + görsel + ağ yapısını birleştirerek LLM üretilen içeriğin “Semantik Tekerrürlülüğü”ni (Semantic Redundancy) tespit ediyor. “Generative Agents” (Stanford Smallville simülasyonu) tarzı autonom ajanlar, script tabanlı botların yerini alarak kendiliğinden hedef belirleme ve uyarlama yeteneği kazandırıyor. Gelecek 5-10 yıl projeksiyonu: “Synthetic Identity Fraud” (SIF) ile KYC/AML sistemlerini geçen “Verified Bot”lerin (Mavi tikli botlar) ortaya çıkması; Quantum Computing (Shor algoritması) ile mevcut şifreleme (RSA/ECC) kırılıp botnet C2 (Command & Control) altyapısının güvenliği tehlikeye girmesi; ve EU DSA (Dijital Hizmetler Yasası) Madde 34/35 kapsamında “Sistemik Risk Değerlendirmesi” zorunluluğu getirerek platformları algoritmik şeffaflığa (Algorithmic Auditing) zorlaması. Türkiye’de “Yalan Haber” yasakları (TCK M. 217/A) ve BTK yetkilerinin genişletilmesi ile yasal çerçeve daralacak, mühendislik tarafında ise “Zero Trust Architecture” ve “Content Provenance” (C2PA standartları) standart hale gelecektir.
Bolum 8: Sikca Sorulan Sorular (SSS)
Soru 1: Graf analizi ile basit istatistiksel analiz (örn. tweet sayısı, takipçi/takip oranı) arasındaki temel fark nedir?
Cevap: İstatistiksel analiz “niteliksel” özniteliklere (node attributes) bakar; graf analizi “ilişkisel” yapıya (topology/edges) bakar. Bir bot, takipçi sayısını satın alarak oranı normalize edebilir (evasion), ancak ağ topolojisinde oluşturduğu “Clique” (Tam bağlı alt küme) veya “Star” yapısı, koordineli retweet zamanlaması (Temporal Correlation) ve ortak hedef kümesi (Common Neighborhood) gibi yapısal anomaliler (Structural Anomalies) matematiksel olarak gizlenemez. Graf analizi, bireysel hesap “temiz” görünse bile kolektif davranışı (Collective Behavior) ifşa eder.
Soru 2: “Low-and-Slow” (Düşük ve Yavaş) bot stratejisi, standart anomali tespit sistemlerini (Rule-based) nasıl aşar?
Cevap: Kural tabanlı sistemler (örn. “Dakikada 50 tweet > Bot”) eşik değerlerine (Threshold) dayanır. Low-and-Slow stratejisi, insanlıktaki “Burstiness” (Patlamalı aktivite) dağılımını (Weibull/Log-normal) taklit ederek, aktiviteyi günler/haftalar yayar ve eşiklerin altında kalır. Ancak Graf Analizinde, bu hesapların zamanla aynı hedefleri (Target Convergence) ve aynı kaynakları (Source Convergence) paylaştığı, yani “Temporal Motif” (Zamsal Motif) oluşturduğu gözlemlenir. Statik eşikler bu koordinasyonu kaçar; dinamik graf metrikleri (Dynamic Graph Embeddings – DynGEM) yakalar.
Soru 3: Türkiye hukukunda (TCK, KVKK, Kanun No: 5651) bot ağını işletmek veya kiralamak hangi suçları oluşturur?
Cevap: TCK M. 217/A (Halkı Yalan Haberlerle Korkutma/İkna – 1-3 yıl hapis), TCK M. 218 (Yalan Bilgi Verme – 2 yıl hapis), TCK M. 243/244 (Bilgisayar Hırsızlığı/Sisteme Giriş – API abuse), KVKK M. 12 (Veri Güvenliği – İdari Para Cezası), Kanun No: 5651 M. 8/9 (İçerik Sağlayıcı/Yer Sağlayıcı Yükümlülükleri – Erişim Engelleme). “Bot Kiralama” (Rent-a-Botnet), TCK M. 220 (Suç Teşviki) ve M. 221 (Suçla Elde Edilen Malların Değerlendirilmesi – Ağır Ceza) kapsamında “Örgütlü İşleme” (TCK M. 220/3) niteliği kazanırsa ceza 1.5 kat artırılır.
Soru 4: LLM (Büyük Dil Modelleri) bot tespitini imkansız mı hale getiriyor?
Cevap: Metin tabanlı (Stylometric/Linguistic) tespiti neredeyse imkansız hale getiriyor; çünkü LLM’ler benzersiz, tutarlı ve insan benzeri metin üretir. Ancak LLM’ler ağ davranışını (Network Behavior) simüle etmez. Bir LLM ajanı, “Ne zaman tweet atmalı?”, “Kimi retweet etmeli?”, “Hangi IP’den giriş yapmalı?” kararlarını stratejik bir “Handler” olmadan veremez. Bu nedenle tespit vektörü İçerik -> Yapı (Structure) kaymıştır. Multimodal GNN’ler, LLM’in ürettiği “Semantik Çeşliliğin” (Semantic Diversity) arkasında yatan “Yapısal Tekerrürlüğü” (Structural Redundancy: Aynı URL seti, aynı zaman penceresi, aynı hedef kitle) tespit eder.
Soru 5: Bir kurum olarak bot saldırısı (Astroturfing/Review Bombing) altındayken ilk 24 saatte ne yapmalıyız? (Incident Response Playbook)
Cevap: 1. Delil Koruma (Preservation): İlgili URL’ler, hesap profilleri, etkileşim logları (JSON/HTML) için “Web Archive” (Wayback Machine), “Archive.today” ve noter onaylı tespit (Kanun No: 5651 M. 9) alın. 2. Graf Çıkarımı: Platform API’si (veya 3. parti: Brandwatch, Talkwalker, Graphika) ile 1-2 derece komşuluk (Ego-network) verisi çek. 3. Anomali Skorlama: NetworkX/Neo4j ile PageRank, Betweenness, Louvain Modularity hesapla; “Koordinasyon Skoru” > 0.7 olan kümeleri izole et. 4. Platform Bildirimi: Platform “Platform Manipülasyonu” formu ile (X: Help Center -> Report -> Platform Manipulation), “Koordineli Davranışsızlık” (CIB) iddiasıyla teknik rapor (CSV/GraphML) gönder. 5. Yasal Başvuru: Savcılığa “Bilgisayar Ortamında Suç İşleme” (TCK M. 243) ve “Halkı Korkutma” (TCK M. 217/A) ile suç duyurusunda teknik raporu delil olarak sun.
Soru 6: “Residential Proxy” ve “Mobile Proxy” kullanımı bot tespitini nasıl etkiler ve mühendislik çözümü nedir?
Cevap: Bu proxyler, IP adresinin ASN (Autonomous System Number) verisinin “Data Center” (AWS, DigitalOcean) yerine “ISP” (Türk Telekom, Turkcell, Vodafone) gösterilmesini sağlayarak IP Reputation tabanlı tespiti (IP Intelligence) bypass eder. Mühendislik çözümü: Behavioral Fingerprinting + TLS Fingerprinting (JA3/JA3S). Proxy IP’si temiz olsa bile; TCP/IP paket yapısı (TTL, Window Size), TLS Client Hello parametreleri (Cipher Suites, Extensions), HTTP/2 Settings Frame sıralaması ve tarayıcı motoru (Chrome/Firefox/Safari) sürüm tutarsızlıkları (User-Agent vs Client Hints) “Bot Fingerprint” bırakır. Bu veriler Passive DNS ve Zeek (Bro) sensorları ile toplanarak IP bağımsız tespit sağlanır.
Bolum 9: Temel Terimler Sozlugu
Koordineli Davranışsızlık (Coordinated Inauthentic Behavior – CIB): Birden fazla hesapların, organik görünüm vermek amacıyla gizli bir koordinasyonla (ortak hedef, zamanlama, içerik) hareket ederek platform algoritmalarını ve kamuoyunu manipüle etmesi. Facebook/Meta ve NATO terminolojisinde standart terimdir.
Astroturfing (Yapı Otu): Kökünden (Grassroots) gelen doğal bir halk hareketi gibi görünürken, aslında bir kurum, devlet veya ajans tarafından finansmanı ve yönetimi yapılan, sentetik bir destek/itiraz kampanyası.
Graf Gömme (Graph Embedding – Node2Vec/GraphSAGE): Graf yapısındaki düğümleri (hesapları), toplolojik komşuluklarını koruyarak düşük boyutlu vektör uzayına (Latent Space) eşleme yöntemi. Bu vektörler üzerindeki mesafe (Cosine Similarity), hesapların davranışsal benzerliğini ölçer.
Zamsal Motif (Temporal Motif): Zaman damgalı ağlarda (Temporal Graphs) tekrar eden, küçük ölçekli alt graf desenleri (örn. A -> B retweet -> C reply -> A quote, 5 dk içinde). Bot ağlarında bu motiflerin frekansı (Frequency) organik ağlardan istatistiksel olarak anlamlı derecede yüksektir.
İçerik Kanıtlama / Köken Belirleme (Content Provenance – C2PA): Dijital içeriğin (fotoğraf, video, metin) kaynağını, düzenleme geçmişini ve dağıtım zincirini kriptografik olarak doğrulanabilir hale getiren standart (Coalition for Content Provenance and Authenticity). Derin sahte (Deepfake) ve bot üretili içerikle mücadelede kritik mühendislik standardıdır.
Bolum 10: Sonuc ve Stratejik Degerlendirme
Bu analiz, bot hesap ağlarının ifşasının artık opsiyonel bir “sosyal medya analizi” değil, ulusal güvenlik, seçim bütünlüğü ve kurumsal itibar yönetimi için zorunlu bir “Siber İstihbarat” (CYBINT) disiplini olduğunu kanıtlamıştır. Graf analizi, LLM tabanlı içerik evrimi karşısında tek kalıcı tespit vektörü olan “yapısal koordinasyon kanıtını” (Structural Coordination Evidence) matematiksel kesinlikle sunar. Maliyet analizi (500-5000 USD/10K bot/ay), bu tehdidin asimetrik savaş doğasını; yasal çerçeve (TCK 217/A, KVKK, 5651 Sayılı Kanun, EU DSA) ise cezai ve idari yaptırım gücünü ortaya koyar. Karar vericiler için yol haritası: 1. Kapasite: Kurumsal “Graph Intelligence Unit” kurulumu (Neo4j/TigerGraph + GPU Cluster + GNN Modelleri). 2. Süreç: “Continuous Monitoring” (Sürekli İzleme) -> “Automated Takedown Request” (Otomatik İhbar) -> “Legal Evidence Packaging” (Yasal Delil Paketleme) entegrasyonu (SOAR). 3. Standart: C2PA ve DSA uyumluluğu, KVKK’ya uygun “Privacy-Preserving Graph Mining” (Federated/Differential Privacy). 4. İnsan Kaynağı: “Graph Data Scientist” ve “OSINT Analisti” hibrit yetkinlikte kadro planlaması. Stratejik üstünlük, veriyi toplama değil, ağ topolojisindeki “koordinasyon imzasını” (Coordination Signature) milisaniyeler içinde çıkarıp, yasal/mühendislik kanalıyla neutralize etme hızında yatar.
