Yapay Zekalı Gizli Veri Tarayıcısı: Regex’in Ötesinde Güvenlik

Gizli veri tarayıcıları genellikle aynı yöntemi kullanır: Önceden tanımlanmış düzenli ifade (regex) kalıplarını karşılaştırarak hassas verileri bulmaya çalışır. AWS erişim anahtarları, GitHub kişisel erişim token’ları veya Stripe anahtarları gibi standart formatlara sahip verilerde başarılı olan bu yöntem, ne yazık ki gerçek dünyadaki birçok gizli veriyi gözden kaçırıyor.

Bu sorunu çözmek için geliştirilen yeni bir yaklaşım, makine öğrenimi (ML) tabanlı bir gizli veri tarayıcısı. Peki bu sistem nasıl çalışıyor, regex’in eksiklerini nasıl gideriyor ve hangi tehlikeleri ortaya çıkarıyor?

Regex’in Sınırları: Neden Yetersiz Kalıyor?

Günümüzdeki en popüler gizli veri tarama araçları — TruffleHog, detect-secrets ve Gitleaks — hepsi regex’e dayanıyor. Ancak bu araçların iki temel zayıflığı bulunuyor:

• Düzenli ifade boşluğu: Standart bir formatı olmayan gizli veriler tespit edilemiyor. Örneğin, şirket içi bir API anahtarı ya da basit bir veritabanı parolası regex kalıplarına uymadığı için fark edilmiyor:

DB_PASSWORD = "Tr0ub4dor&3"
INTERNAL_API_KEY = "prod-backend-service-key-2019"
SMTP_PASSWORD = "companyname_mail_2018!"

Bu tür veriler, gerçek saldırılarda sıkça kullanılıyor çünkü rastgele oluşturulmuş anahtarlar gibi görünmüyorlar.

• Yanlış pozitif patlaması: Bazı araçlar, yüksek Shannon entropisine sahip her diziyi şüpheli olarak işaretliyor. Oysa UUID’ler, SHA-256 hash’ler ve Base64 kodlanmış veriler de yüksek entropiye sahip olabiliyor:

session_id = "550e8400-e29b-41d4-a716-446655440000"
expected_checksum = "d8e8fca2dc0f896fd7cb4cb0031ba249"
avatar_placeholder = "iVBORw0KGgoAAAANSUhEUgAAAAEAAAABCAYAAAAfFcSJ..."

Bu durum, geliştiricilerin araçları görmezden gelmesine yol açıyor.

Makine Öğrenimiyle Gerçek Bağlamı Anlamak

Makine öğrenimi tabanlı bir sistemin temel avantajı, bir dizinin gizli olup olmadığını yalnızca kendisine değil, bağlamına göre değerlendirebilmesi. Örneğin:

password = "d8e8fca2dc0f896fd7cb4cb0031ba249"
checksum = "d8e8fca2dc0f896fd7cb4cb0031ba249"

İlk satırdaki değişken adı, dizinin bir parola olduğunu hemen ortaya koyarken, ikinci satırdaki değişken adı bunun bir hash olduğunu gösteriyor. Bir insan güvenlik uzmanı bu farkı kolayca anlayabilirken, regex tabanlı bir sistem için bu mümkün değil.

Geliştirilen sistem, 26 farklı özniteliği analiz ederek bir sınıflandırma yapıyor. Bu öznitelikler arasında:

• Dizinin entropisi
• Karakter dağılımı
• Değişken adı risk skoru
• Kodun içinde bulunduğu bağlam

Bu yaklaşım, regex’in yakalayamadığı düşük entropili gizli verileri de tespit ederken, yanlış pozitifleri önemli ölçüde azaltıyor.

Değişken Adlarının Kritik Rolü

Sistemin en etkili özniteliği, değişken adlarına dayalı risk skorlaması. Makine öğrenimi modelinin eğitimi sırasında, key_name_risk adlı özniteliğin önem skoru 0,28 olarak ölçüldü — bu, modelin kararlarında en belirleyici faktördü.

Geliştirilen risk skorlama sistemi, değişken adlarını hassasiyet seviyelerine göre sınıflandırıyor:

• password, passwd, secret, private_key → 1,0 (en yüksek risk)
• api_key, token, credential, auth → 0,9
• access_key, client_secret, bearer → 0,85
• config, setting, value → 0,1
• checksum, hash, version, id → 0,0 (en düşük risk)

Bu sayede, örneğin DB_PASSWORD = "12345" gibi düşük entropili bir parola bile tespit edilirken, file_hash = "d41d8cd98f00b204e9800998ecf8427e" gibi bir hash değeri yanlış alarm olarak işaretlenmiyor.

Rastgele Orman Modelinin Seçilme Nedeni

Prototip aşamasında denenen farklı modeller arasında, rastgele orman (Random Forest) algoritması en yüksek performansı gösterdi. Nedeni ise:

• Açıklanabilir olması: Modelin karar süreçleri anlaşılabilir ve mühendislik ekipleri tarafından güvenilir bulunuyor.
• Veri dengesizliğine direnç: Gizli verilerin nadir bulunması nedeniyle oluşan veri dengesizliği, rastgele ormanla daha kolay yönetiliyor.
• Hiperparametre ayarlamaya gerek duymaması: Diğer derin öğrenme modellerine kıyasla daha az ince ayar gerektiriyor.

Sistem ayrıca, regex tabanlı tarayıcılarla entegre çalışarak, hem standart formatlardaki gizli verileri hem de bağlamsal olarak şüpheli olanları aynı anda tespit ediyor.

Gelecekteki Adımlar ve Gerçek Dünya Uygulamaları

Geliştirilen sistem, açık kaynaklı projelerde ve kurumsal kod tabanlarında test edildi. İlk sonuçlar, regex’in yakaladığı gizli verilerin yanı sıra, ML’in keşfettiği yeni gizli verilerin de mevcut olduğunu gösteriyor. Özellikle:

• İçsel olarak oluşturulmuş API anahtarları
• Geliştiricilerin yerel ortamlarında kullandığı test verileri
• Farklı hizmetlere ait gizli anahtarların yanlışlıkla birleştirilmesi

Bu tür tespitler, henüz yaygınlaşmamış olsa da, gelecekte gizli veri sızıntılarının önlenmesinde kritik bir rol oynayabilir. Makine öğrenimi tabanlı tarayıcılar, güvenlik ekiplerinin elle incelemek zorunda kaldığı birçok vakanın otomatik olarak çözülmesini sağlayabilir.

Sonuç olarak, regex’in basitliği ve hızlı çalışması nedeniyle vazgeçilmez bir araç olmaya devam edeceği açık. Ancak gerçek dünyadaki gizli veri tehditlerini tam anlamıyla tespit etmek için, makine öğrenimi destekli yeni nesil tarayıcılara ihtiyaç duyuluyor. Bu teknolojilerin benimsenmesi, gelecekteki veri ihlallerinin sayısını önemli ölçüde azaltabilir.