KaydedilenlerDerginizi ekleyin

Dergiler / Uluslararası Bilgi Güvenliği Mühendisliği Dergisi / 2022 / Cilt: 8 - Sayı: 1

SQLi ve XSS Saldırı Tespitinde Kullanılan Yeni Bir Özellik Çıkarma Yöntemi

Mehmet Serhan ERÇİN
Esra YOLAÇAN
Sayfa
1–11
Yayın Tarihi
2022-09-06
DOI
—
🏛️Bu makalenin bibliyografik verileri ve tam metin bağlantısı DergiPark üzerinden sağlanmıştır.
DergiPark Kaydı ↗
✨

Yapay Zeka Hızlı Bakış & Çıkarımlar

AI Insight
⚡ TL;DR(1 Cümlede Hızlı Çıkarım)

Bu çalışma ile ulaşılan bulgular şu şekilde sıralanabilir: 1) Bazı saldırı vektörlerinin, görünürde farklı bile olsa ön işlem sonrasında aslında aynı karakteristikte olabildiği, 2) Kelimelerin sembolize edilmesinin saldırı vektörünün özelliğinin daha net görülmesini sağladığı, 3) Kelimelerin öklitsel uzaklıklarının hesaplanarak özniteliklerin çıkarılması başarıyı arttırdığı görülmüştür.

📌 3 Maddede Bu Makale

🎯
Amaç & Hipotez:Web sayfalarına erişmek için kullanılan adres satırı veya web sayfalarında ve uygulamalarında bulunan formlar gibi kullanıcıdan girdi alabildiğimiz, dolayısıyla kullanıcının niyetini anlamak için ona sınırsız bir imkân tanıdığımız alanlar, güvenlik riski bakımından her dönemde ilk sıralarda kendine yer bulmaktadır.
📊
Temel Bulgular & Veri:Bu çalışmada, literatürde tespit edilen bu belirsizliğin azaltılması için Yanlış-Alarm seviyelerini düşürmek ve doğru tespit oranını artırmak hedeflenmiştir.
💡
Sonuç & Katkı:Bu çalışma ile ulaşılan bulgular şu şekilde sıralanabilir: 1) Bazı saldırı vektörlerinin, görünürde farklı bile olsa ön işlem sonrasında aslında aynı karakteristikte olabildiği, 2) Kelimelerin sembolize edilmesinin saldırı vektörünün özelliğinin daha net görülmesini sağladığı, 3) Kelimelerin öklitsel uzaklıklarının hesaplanarak özniteliklerin çıkarılması başarıyı arttırdığı görülmüştür.
🔬Tür:Literatür & Derleme Çalışması
📍Kapsam:2021 · 13157 adet
⚙️Değişkenler:SQL Enjeksiyonu · Siteler Arası Betik (XSS) · Derin Öğrenme

Özet

Web sayfalarına erişmek için kullanılan adres satırı veya web sayfalarında ve uygulamalarında bulunan formlar gibi kullanıcıdan girdi alabildiğimiz, dolayısıyla kullanıcının niyetini anlamak için ona sınırsız bir imkân tanıdığımız alanlar, güvenlik riski bakımından her dönemde ilk sıralarda kendine yer bulmaktadır. Bu alanlara yapılan saldırıların tespiti için literatürde statik, dinamik ve hibrit olmak üzere çeşitli yaklaşımlar kullanılmaktadır. Ancak bu yöntemlerin Yanlış Alarm durumları için ne yapılacağını belirlemediği ve bu durumlarda tamamen işlevsiz kaldığı görülmektedir. Bu çalışmada, literatürde tespit edilen bu belirsizliğin azaltılması için Yanlış-Alarm seviyelerini düşürmek ve doğru tespit oranını artırmak hedeflenmiştir. Çalışma kapsamında, 5 Mayıs 2021 tarihi itibariyle güncel 13157 adet SQLi ve XSS tipi zararlı, 10000 adet normal HTTP İsteği kullanılmıştır. HTTP isteklerinin tamamı aynı web sunucudan alınmış, normal isteklerle zararlı isteklerin birbirine yakın olduğu gözlenmiştir. Bu çalışmada, veri ön işleme aşamalarında veriyi kelimelerle ifade etme ve sayısallaştırma işlemleri birlikte kullanılarak yeni bir yaklaşım sunulmuştur. Sınıflandırma için LSTM, MLP, CNN, GNB, SVM, KNN, DT, RF algoritmaları kullanılmış ve sonuçlar doğruluk, hassasiyet, özgüllük ve F1-skoru metrikleri ile değerlendirilmiştir. Bu çalışma ile ulaşılan bulgular şu şekilde sıralanabilir: 1) Bazı saldırı vektörlerinin, görünürde farklı bile olsa ön işlem sonrasında aslında aynı karakteristikte olabildiği, 2) Kelimelerin sembolize edilmesinin saldırı vektörünün özelliğinin daha net görülmesini sağladığı, 3) Kelimelerin öklitsel uzaklıklarının hesaplanarak özniteliklerin çıkarılması başarıyı arttırdığı görülmüştür.

🔖

Bu Makaleye Atıf Yap

ERÇİN, M. S., YOLAÇAN, E. (2022). SQLi ve XSS Saldırı Tespitinde Kullanılan Yeni Bir Özellik Çıkarma Yöntemi. Uluslararası Bilgi Güvenliği Mühendisliği Dergisi, Cilt: 8 - Sayı: 1, 1–11. https://ajindex.com/articles/815267

📄 Tam Metin PDF Okuyucu

📄

PDF görüntüleyici hazırlanıyor...

Kaynakça (1)

  1. “Owasp, 2021”, Erişim: 5-12-2021, Mevcut: https://owasp.org/www-project-top-ten/ [2] Acunetix, “Acunetix web application vulnerability report 2016,” Tech. Rep., 2016. [Online]. Mevcut: https://www.acunetix.com/ acunetix-web-application-vulnerability-report- 2016/ [3] Jemal, I., Cheikhrouhou, O., Hamam, H., & Mahfoudhi, A. (2020). Sql injection attack detection and prevention techniques using machine learning. International Journal of Applied Engineering Research, 15(6), 569-580. [4] Alwan, Z. S., & Younis, M. F. (2017). Detection and prevention of sql injection attack: A survey. International Journal of Computer Science and Mobile Computing, 6(8), 5-17. [5] Gogoi, B., Ahmed, T., & Saikia, H. K. (2021). Detection of XSS Attacks in Web Applications: A Machine Learning Approach. International Journal of Innovative Research in Computer Science & Technology (IJIRCST) ISSN, 2347- 5552. [6] Abaimov, S., & Bianchi, G. (2019). Coddle: Code-injection detection with deep learning. IEEE Access, 7, 128617-128627.J. Clerk Maxwell, A Treatise on Electricity and Magnetism, 3rd ed., vol. 2. Oxford: Clarendon, 1892, pp.68–73. [7] Singh, J. P. (2016). Analysis of SQL injection detection techniques. arXiv preprint arXiv:1605.02796. [8] Gupta, S., & Gupta, B. B. (2017). Cross-Site Scripting (XSS) attacks and defense mechanisms: classification and state-of-the-art. International Journal of System Assurance Engineering and Management, 8(1), 512-530. [9] Moosa, A. (2010). Artificial neural network based web application firewall for SQL injection. International Journal of Computer and Information Engineering, 4(4), 610-619. [10] Makiou, A., Begriche, Y., & Serhrouchni, A. (2014, November). Improving Web Application Firewalls to detect advanced SQL injection attacks. In 2014 10th International Conference on Information Assurance and Security (pp. 35-40). IEEE. [11] Sheykhkanloo, N. M. (2015, September). SQL- IDS: evaluation of SQLi attack detection and classification based on machine learning techniques. In Proceedings of the 8th International Conference on Security of Information and Networks (pp. 258-266). [12] Sheykhkanloo, N. M. (2017). A learning-based neural network model for the detection and classification of SQL injection attacks. International Journal of Cyber Warfare and Terrorism (IJCWT), 7(2), 16-41. [13] Verbruggen, R., & Heskes, T. (2014). Creating firewall rules with machine learning techniques. Nijmegen Netherlands: Kerckhoffs institute Nijmegen, 9-27. [14] Kar