Anomali tespiti nedir?

Anomali tespiti, bir veri kümesinde çoğunluktan belirgin biçimde ayrılan olağandışı kayıtları bulma işlemidir. Örneğin bir web uygulamasında kullanıcıların çoğu dakikada 1-5 istek gönderirken tek bir hesabın aynı sürede 500 istek göndermesi anomali adayı olabilir. Sonuç, doğrudan “kesin saldırı” veya “kesin hata” anlamına gelmez; kaydın neden ayrıştığını ek kurallar, zaman bilgisi ve uygulama bağlamıyla incelemek gerekir.

Anomali tespiti nasıl çalışır?​

Sistem önce verilerin normal davranışını tanımlar, ardından yeni veya mevcut kayıtları bu davranışla karşılaştırır. Normal davranış sabit bir eşik olabilir; ortalama ve standart sapma gibi istatistiklerle hesaplanabilir ya da makine öğrenmesi modeliyle öğrenilebilir.

Bir veri noktasının anomali sayılması şu unsurlara bağlıdır:

• Verinin türü: Sayısal değer, zaman serisi, metin, ağ trafiği veya kullanıcı davranışı olabilir.
• Normal davranışın tanımı: Her kullanıcı, cihaz veya dönem için normal aralık aynı olmayabilir.
• Eşik veya model: Ayrışmanın hangi seviyede uyarı oluşturacağı belirlenir.
• Bağlam: Bakım çalışması, kampanya veya olağanüstü yoğunluk gibi durumlar yanlış alarm oluşturabilir.

Bu nedenle anomali tespiti yalnızca “yüksek” ya da “düşük” değerleri aramaz. Beklenmeyen zaman, sıra veya ilişki değişikliklerini de inceleyebilir. Örneğin toplam satış normal görünse bile satışların tek bir mağazadan gelmesi, dağılım açısından anomali olabilir.

Basit bir örnek​

Bir sunucunun son yedi gündeki saatlik işlem sayıları aşağıdaki gibi olsun: 102, 98, 105, 101, 99, 103 ve 100. Bu değerler yaklaşık aynı aralıkta olduğu için sistem bu dönemi normal davranış olarak değerlendirebilir. Daha sonra işlem sayısı 1.200'e çıkarsa bu kayıt anomali adayı olur.

Ancak bu sonuç tek başına kök nedeni göstermez. O saatte planlı bir kampanya başlamışsa artış beklenen bir yoğunluk olabilir. Kampanya yoksa uygulama hatası, bot trafiği, yanlış yapılandırma veya kötüye kullanım olasılıkları incelenir. Yani algoritmanın çıktısı genellikle “bu kayıt normalden farklı” şeklindedir; “sorunun nedeni budur” şeklinde değildir.

Yaygın anomali tespiti yöntemleri​

Eşik tabanlı tespit​

Bir değerin belirlenen sınırı aşmasıyla uyarı üretilir. Örneğin işlem süresi 2 saniyeyi geçerse kayıt işaretlenebilir. Uygulaması kolaydır ve iş kuralının açık olduğu durumlarda etkilidir; ancak değişken normal davranışlarda çok fazla yanlış alarm üretebilir.

İstatistiksel tespit​

Verilerin ortalaması, dağılımı veya standart sapması incelenir. Ortalama değerden çok uzak kayıtlar anomali adayı kabul edilir. Bu yöntem, verilerin ölçülebilir ve geçmişteki davranışın geleceğe benzer olduğu durumlarda işe yarar.

Makine öğrenmesi tabanlı tespit​

Model, etiketlenmiş hata kayıtları olmadan normal kümeleri veya benzer davranışları öğrenebilir. Büyük ve çok boyutlu verilerde yararlı olabilir; fakat modelin hangi verilerle eğitildiği, eşik değerinin nasıl belirlendiği ve yanlış alarmların nasıl değerlendirildiği açıklanabilirlik açısından önem taşır.

Anomali çıktısı nasıl yorumlanır?​

Bir kaydın işaretlenmesi üç farklı duruma karşılık gelebilir:

• Gerçek anomali: Sistem, hata, saldırı, veri bozulması veya olağandışı kullanım gibi araştırılması gereken bir durum vardır.
• Beklenen istisna: Kampanya, bakım, sezonluk yoğunluk veya yeni bir özellik nedeniyle değer normalden farklıdır.
• Yanlış alarm: Normal davranış yeterince öğrenilmemiştir veya eşik fazla hassastır.

İnceleme sırasında anomali kaydının zamanını, ilgili kullanıcı veya cihazı, aynı dönemdeki diğer kayıtları ve uygulama günlüklerini birlikte kontrol edin. Tek bir metriğe bakarak karar vermek yerine, aynı olayı doğrulayan bağımsız göstergeler arayın. Örneğin işlem sayısı artarken hata oranı ve yanıt süresi de yükseliyorsa teknik bir sorun olasılığı güçlenir; yalnızca işlem sayısı artmışsa iş yoğunluğu daha olası olabilir.

Anomali tespitinin sınırları​

Anomali tespiti normal davranışın doğru tanımlanmasına bağlıdır. Eğitim verisinde zaten hata veya saldırı kayıtları varsa model bunları normal kabul edebilir. Buna karşılık çok düşük eşik kullanılırsa ekiplerin gerçek uyarıları ayırt etmesi zorlaşır.

Ayrıca her sıra dışı olay önemli değildir. Yeni bir kullanıcı davranışı, mevsimsel değişim veya veri toplama biçimindeki değişiklik anomali olarak işaretlenebilir. Bu yüzden üretim ortamında uyarının önem derecesi, tekrar sıklığı, etkilenen kayıt sayısı ve iş etkisi birlikte değerlendirilmelidir.

Sonuç olarak anomali tespiti, olağandışı veriyi otomatik olarak görünür hâle getiren bir erken uyarı yöntemidir. İşaretlenen kayıt önce doğrulanır, ardından beklenen istisna, yanlış alarm veya gerçek sorun olarak sınıflandırılır. Modelin ya da kuralın başarısı yalnızca kaç anomali bulduğuyla değil, önemli olayları kaçırmadan gereksiz uyarıları azaltabilmesiyle değerlendirilir.