Intelligent cyber attack detection using social media posts

Abstract

Siber saldırıların sayısı ve doğal olarak bu saldırılardan etkilenen insanların sayısı her geçen gün artmaktadır. Bu nedenle şirketler ve kullanıcılar siber saldırılar sonucu oluşabilecek kayıp ve hasarı en aza indirgemek ve önlem alabilmek amacıyla bu saldırılardan olabildiğince çabuk bir şekilde haberdar olmaları gerekir. Bu tezde, siber saldırılardan Twitter paylaşımları kullanılarak haberdar olabilmek için bir çerçeve çalışma sunulmuştur. Bu çerçeve çalışma, tweet sınıflandırması ve bilgi çıkarımı olmak üzere iki ana görevden oluşmaktadır. Bu görevler için derin öğrenme modelleri olan dönüştürücülerden (BERT ve RoBERTa) faydalanılmıştır. Sınıflandırma görevi için SUCyber ismi verilen, varlık ismi tanıma görevi için ise SUCyberNER ismi verilen iki yeni veri seti oluşturulmuştur. Ayrıca başka bir çalışmanın veri seti de sınıflandırma modellerini değerlendirmek amacıyla kullanılmıştır. Sunmuş olduğumuz modelin tweet sınıflandırma performansı iki farklı veri seti üzerinde ortalama %90.1 F1-Skoru olarak ölçülmüştür. Ayrıca, varlık ismi tanıma görevi için sunmuş olduğumuz model seçilen etkiket için %92.29 F1-Skoru vermiştir. Tüm bunlara ek olarak, gerçek zamanlı olarak tweet toplayıp geliştirilen model ile analiz eden ve yayınlayan bir websitesi de hayata geçirilmiştir. Sonuç olarak bu çalışma bize tweetler kullanılarak devam eden siber saldırıların belirlenebileceğini göstermiştir.

The number of cyber attacks increases every day, so the number of people affected by these attacks is also increasing. For this reason, companies and users need to be aware of the attacks as fast as possible to take precautions and to minimize the loss and effects caused by the attacks. In this thesis, a framework is proposed to detect cyber attacks from Twitter so that entities can act accordingly. The framework consists of two main tasks: tweet classification and information extraction. Two different deep learning based transformers, namely BERT and RoBERTa, are used for our tasks. Two new datasets, one is for binary classification named SUCyber, and the other is for named entity recognition named SUCyberNER, are created. Moreover, an additional dataset from another work is used to evaluate the approaches for the classification. The model that we propose for tweet classification yields average F1-score of 90.1% on two different datasets. Also, the NER model achieves F1-score of 92.29% for the selected tag. In addition, the proposed model has been incorporated into a website that collects and analyzes tweets in real-time to identify DDoS attacks. Finally, this study shows that tweets can be a good source of information to identify ongoing cyber attacks.