Saldırı tespit sistemleri, bilinen imzalara neredeyse tamamen dayanmaktan uzaklaşarak geleneksel eşleştirmeyi makine öğrenimi ve ajan tabanlı soruşturmayla birleştiren hibrit bir mimariye yöneliyor. Stack Overflow blogunda yayımlanan bir analiz, SnortML'nin Snort 3 içinde düşük seviyeli bir algılama katmanı olduğunu, ajan tabanlı yapay zekânın ise olayları zaman ve kaynaklar arasında ilişkilendirerek soruşturmadaki bir sonraki adımı belirlediğini savunuyor.
Geleneksel imzaların sorunu yanlış olmaları değil, tasarlanmış oldukları şeyi tespit etme konusunda doğru olmalarıdır. CVE-2024-12345 gibi belirli bir güvenlik açığına yönelik özel bir kural, bilinen istismarı çok düşük yanlış pozitif oranıyla yakalayabilir; ancak aynı savunmasız kod yolundan geçen değiştirilmiş bir yükü tespit etmeyebilir. Yeni bir istismarın gerçek dünyada ortaya çıkmasıyla analiz edilmesi, kuralının yazılması, test edilmesi ve dağıtılması arasında günler veya haftalar geçebilir; güvenlik açığı fiilen istismar edildiğinde bu tehlikeli bir boşluktur.
SnortML, Snort 3 içinde nasıl çalışır?
Cisco Talos, SnortML motorunu Mart 2024'te doğrudan Snort 3 içinde çalışan bir makine öğrenimi tespit motoru olarak tanıttı. Motor harici bir bulut hizmetine dayanmaz; çıkarım, kuralları değerlendirmek için kullanılan aynı işleme akışı içinde yerel olarak gerçekleştirilir ve bir milisaniyeden kısa sürede sonuç üretir.
Uygulama, başlangıçta önceden eğitilmiş TensorFlow modellerini yükleyen snort_ml_engine modülü ile Snort 3'teki mevcut hizmet denetleyicilerinden yayınla-abone ol arayüzü üzerinden veri alan snort_ml denetleyicisinden oluşur. HTTP denetleyicisi isteği analiz etmeyi tamamladığında sorgu dizesini ve POST içeriğini olay veri yoluna gönderir; ardından SnortML bunları sınıflandırır ve istismar girişimi içerme olasılığını gösteren bir olasılık değeri döndürür.
Model, ham bayt değerlerini vektör temsillerine dönüştüren bir gömme katmanının önünde yer alan bir LSTM ağına dayanır. Bu, baytlar arasındaki ilişkilerin ve bağlamın yakalanmasını sağlarken LSTM de bunların sırasını ve dizisini işler. Son bir yoğun katman, sonucu tek bir olasılık değerine indirger. SnortML ile birlikte gelen LibML, matris işlemlerini hızlandırmak için XNNPACK kütüphanesini kullanır. Metne göre tek bir sınıflandırma işlemi, 4,7 GHz hızındaki AMD işlemcide yaklaşık 350 mikrosaniye sürer.
Secure Firewall 10.0.0 ve sonraki sürümlerde SnortML, 256, 512 veya 1024 bayt uzunluklarına uygun modeli otomatik olarak seçer. 1024 baytı aşan istekler sınıflandırmadan önce bu sınırda kesilir. İlk sürüm SQL enjeksiyonunu tespit etmeye başladı; kapsam 2025'in sonlarına kadar XSS ve komut enjeksiyonunu da içerecek şekilde genişledi ve model güncellemeleri, kural içeriğini dağıtmak için kullanılan Lightweight Security Package sistemi üzerinden iletiliyor.
Hibrit yaklaşımın gücü ve sınırları
SnortML, imza eşleştirmenin yerine geçmek yerine onunla paralel çalışır. Model, bilinen kategorilere giren saldırıların yeni sürümlerini yakalayabilirken geleneksel imzalar doğrulanmış kalıplar için düşük gürültülü bir hat sağlar. Her iki yol da aynı yükte uyarı verdiğinde bu, yalnızca makine öğreniminden gelen bir uyarıdan daha güçlü bir sinyal olarak kabul edilebilir; bununla birlikte her mekanizmanın farklı hata özellikleri vardır.
Ancak SnortML, URI sorgu dizesi veya POST içeriği gibi tek bir HTTP parametresini analiz eder; isteğin öncesinde ya da sonrasında ne olduğunu veya kaynak adresin önceki dakikalarda ne yaptığını bilmez. Bu nedenle keşif, numaralandırma ve özel istismardan oluşan bir dizi, tek tek adımların hiçbiri tespit eşiğini aşmadan gerçekleşebilir. Ayrıca mevcut model, kullanılabilir modeller HTTP denetleyicisinin veri akışına bağlı olduğundan DNS tünellerini, TLS katmanı saldırılarını, SMB istismarını veya HTTP dışındaki protokollerdeki anormal davranışları görmez.
Yaklaşık 350 mikrosaniyelik işleme süresi, XNNPACK sayesinde sınırlı ve öngörülebilir olsa da gerçek bir maliyet ekler. Bu nedenle modelin performansı kural kümesinin boyutundan, protokollerin karmaşıklığından ve güvenlik cihazındaki işleme bütçesinden bağımsız değerlendirilmemelidir.
Ajan tabanlı yapay zekâ ne ekler?
Analiz, yalnızca önündekini değerlendiren bir makine öğrenimi modeli, sabit adımları izleyen bir SOAR çalışma kitabı ve önceki sonuçlara göre daha sonra neyin incelenmesi gerektiğine karar veren, çok aşamalı bir soruşturma durumunu koruyan bir ajan arasında ayrım yapıyor. Önerilen tasarıma göre ajan, ilişkili olaylar için SIEM'i sorgulayabilir, bir dosyanın parmak izini tehdit istihbaratı platformu üzerinden inceleyebilir, bir kimlik sağlayıcısından kullanıcı etkinliğini alabilir ve müdahale önerisinde bulunmadan veya öneriyi insan analiste yönlendirmeden önce bağlamı bir araya getirebilir.
Makale, IBM'nin ATOM'u veya Autonomous Threat Operations Machine'i Nisan 2025'te, Trend Micro'nun ise Agentic SIEM'i Ağustos 2025'te piyasaya sürdüğünü belirtiyor. Bu sistemler yalnızca güvenlik bilgileriyle donatılmış sohbet arayüzleri olarak değil, çok ajanlı koordinasyon ve soruşturma platformları olarak sunuluyor. Analiz, bunların yaygınlaşmasını personel açığının yarattığı baskıyla ilişkilendiriyor; siber güvenlikte küresel olarak yaklaşık dört milyon açık pozisyon bulunduğunu ve 2025'te yapılan bir ankete göre güvenlik operasyon merkezi analistlerinin %82'sinin uyarı hacmi nedeniyle gerçek tehditleri kaçırmaktan endişe duyduğunu belirtiyor.
Bu mimaride Snort 3 ve SnortML, gerçekte gözlemlenenleri daha üst düzey çıkarım katmanına sunan, ağa yakın sensörlere dönüşür. Ancak otomasyon seviyesinin yükselmesi sensör doğruluğunu daha önemli hâle getirir: yanlış pozitif yalnızca analistin zamanını tüketmez, aynı zamanda ajanların kaynaklarını da tüketir ve kötü yapılandırılmış ortamlarda karantina eylemlerini tetikleyebilir. SnortML'nin olasılık sonucu, bileşik bir güven puanı oluşturulmasına da olanak tanır; geleneksel bir imzayı ve 0,97'lik bir makine öğrenimi puanını birleştiren uyarı, yalnızca makine öğrenimi tarafından 0,61 puanla oluşturulan bir uyarıdan farklı işlenmelidir.
Entegrasyon mimarisi ve geri bildirim döngüsü sorunu
Makale, üretim aktarım hızı gereksinimlerine göre AFPacket RSS veya DPDK kullanan DAQ üzerinden paket yakalama katmanıyla başlayan bir mimari öneriyor; ardından MPSE Hyperscan motoru ile SnortML'yi paralel çalıştıran tespit katmanı geliyor. Her iki katman da uyarıları, olasılık puanlarını ve akış verilerini içeren JSON biçimindeki olayları ortak bir ölçüm veri yoluna gönderiyor.
Ardından görevler uzmanlaşmış ajanlara dağıtılıyor: ayıklama, tekilleştirme ve önem derecesi tahmini için bir ajan; zenginleştirme ve tehdit istihbaratı için ajanlar; SIEM kayıtlarını, kimlik sağlayıcısını ve uç nokta verilerini ilişkilendiren bir soruşturma ajanı; etkinliği geçmiş kalıplar ve bilinen kampanyalarla karşılaştıran bir bağlam ajanı. Tasarım, doğrulanmış soruşturma sonuçlarının akışın müdahale aşamasında durması yerine model ve kural motorlarına geri gönderilmesi gerektiğini vurguluyor.
Saldırı olduğu doğrulanan, ancak düşük puan alan veya bir imzayla eşleşmeyen yükler eğitim verisine ya da yeni kurallar oluşturma girdilerine dönüştürülebilir. Ancak bu yol, insan doğrulaması ve eğitim verilerinin zehirlenmesini tespit edecek mekanizmalar gerektirir; çünkü saldırgan, yeniden eğitim sürecine bozuk örnekler sokmak için otomatik soruşturma sonuçlarını manipüle etmeye çalışabilir.
Dağıtım kısıtlamaları ve pratik öneriler
Analiz, SnortML'nin mevcut kapsamının HTTP parametreleriyle sınırlı olması, ajan koordinasyon protokollerinin olgunlaşmamış olması ve model uyarılarının açıklanabilirliğinin zayıf olması gibi başka boşlukları da tespit ediyor. Mevcut çıktılar olasılık puanını ve uyarıyı tetikleyen yükü gösteriyor, ancak girdinin hangi baytlarının veya bölgelerinin sonucu etkilediğini açıklamıyor. Ayrıca metne göre modelin gizleme, kodlama, boşluklarla oynama ve SQL yorumları ekleme karşısındaki dayanıklılığı, yayımlanmış değerlendirmelerde kamuya açık biçimde tanımlanmış değil.
Pratik olarak makale, SnortML'nin bir izleme bağlantı noktasında ve yalnızca uyarı modunda çalıştırılmasını, engelleme ile doğrudan hat üzerinde çalıştırılmamasını öneriyor. Olağan iş döngülerini kapsayacak şekilde en az iki hafta boyunca bilinen uygulamaların trafiğindeki yanlış pozitifler ölçülmeli, ardından seçici inline dağıtım etkinleştirilmeden önce eşikler ayarlanmalıdır. Ayrıca ML puanı, geleneksel imzanın yerine veya engelleme için tek başına bir tetikleyici olarak değil, bileşik bir güven hesaplamasında bir faktör olarak ele alınmalıdır.
IP adreslerini engelleme, cihazları izole etme veya kimlik bilgilerini sıfırlama gibi yüksek etkili sınırlama işlemleri ise insan inceleme döngüsü içinde kalmalıdır. Analizin temel sonucu şudur: Otomasyon; triyajı, zenginleştirmeyi, ilişkilendirmeyi ve bağlamın yoğun biçimde bir araya getirilmesini üstlenebilirken, nihai yanıt kararı, aracının topladığı bağlama dayanarak bir insan tarafından incelendiğinde daha güvenli olmaya devam eder.