Artık yalnızca dosya taramak yeterli değil: NordVPN “yeni nesil antivirüsü” nasıl tanımlıyor?

Mevcut antivirüs tanımının sorunu

Siber güvenlik sektörü, antivirüs nesillerini her zaman zararlı dosyaları nasıl tespit ettiklerine göre tanımlamıştır. İlk araçlar dosyaları bilinen tehdit imzalarıyla karşılaştırıyordu. Sonraki nesiller buna sezgisel yöntemleri, davranış analizini, sandbox ortamlarını ve makine öğrenimi tabanlı sınıflandırmayı ekledi.

Her nesil aslında aynı soruya yanıt arıyordu: Bu dosya zararlı mı? Ancak tehdit ortamı artık çok değişti. Günümüzdeki kimlik avı, dolandırıcılık, kimlik hırsızlığı ve sosyal mühendislik gibi saldırıların çoğu zararlı bir dosyaya ihtiyaç duymuyor. “Antivirüs” için kullanılan mevcut tanım ise bu değişime ayak uyduramıyor.

Virüsler artık en büyük tehdit değil

Günümüzde siber güvenlik tehditlerinin çoğu bir virüs içermiyor. İnternet kullanıcıların günümüzde karşı karşıya kaldığı tehditlere göz atacak olursak, bunu daha rahat görebiliriz:

• Dolandırıcılık, giderek daha sofistike sosyal mühendislik operasyonlarına dönüştü. Sahte e-ticaret siteleri; bankacılık bilgilerini çalmak için ikna edici ürün sayfaları, uydurma yorumlar ve gerçekten çalışan ödeme işlemleri kullanıyor. Sahte SMS'ler kargo şirketlerini, vergi dairelerini ve bankaları taklit ediyor. Telefon dolandırıcılığında ise arayan kimliği sahteciliği ve yapay zekâ tarafından üretilen sesler kullanılarak para ve kişisel bilgiler elde edilebiliyor. Bu saldırıların hiçbiri, başarılı olmak için zararlı bir dosyaya ihtiyaç duymuyor.
• Kimlik avı (phishing), on yıl önceki yazım hatalarıyla dolu e-postaların çok ötesine geçti. Günümüzdeki kimlik avı sayfaları, meşru sitelerin neredeyse kusursuz kopyaları olabiliyor ve çoğu zaman geçerli SSL sertifikalarına sahip ele geçirilmiş alan adlarında barındırılıyor. Bu sayfalar kimlik bilgilerini, oturum belirteçlerini, çok faktörlü kimlik doğrulama kodlarını ve hesap kurtarmada kullanılabilecek kişisel verileri çalmak için tasarlanıyor.
• Kimlik hırsızlığı, NordVPN kullanıcılarının en önemli güvenlik endişesi olarak öne çıkıyor.1 Saldırganlar oturum bilgisi doldurma saldırıları, oturum ele geçirme, SIM değiştirme ve sosyal mühendislik yoluyla hesaplara yetkisiz erişim sağlayabiliyor. Hesaba girdiklerinde, asıl sahibinin erişimini engelleyerek hesabı tamamen ele geçirebiliyorlar. Ayrıca çalınan kişisel veriler, kurbanın adına yeni kredi hesapları açmak veya dolandırıcılık yapmak için kullanılabiliyor.
• Kötü amaçlı yazılımlar ve zararlı dosyalar hâlen ciddi bir tehdit. İnsanların indirdiği ve cihazlarında çalıştırdığı içeriklerin incelenmesi ve kontrol edilmesi gerekiyor. Ancak dosyalar artık başlıca saldırı yöntemi değil, birçok zararlı vektörden yalnızca biri olarak kullanılıyor.

Dolayısıyla, yalnızca zararlı dosyalara odaklanan bir dijital tehdit koruma aracı, insanların günümüzde karşılaştığı saldırıların büyük bir bölümünü görmezden gelmiş oluyor.

“Antivirüs” kavramını yeniden tanımlamak

Antivirüs terimi, zararlı dosyaların başlıca dijital tehdit olduğu bir dönemden geliyor. Eski güvenlik markalarının onlarca yıl süren pazarlama çalışmaları, “antivirüs” terimini güvenlik yazılımları için kullanılan genel bir ifadeye dönüştürdü: Tıpkı “Selpak” markasının kâğıt mendil için kullanılan genel isme dönüşmesi gibi. Bu çağrışım, kolay kolay ortadan kalkmayacak.

Geleneksel antivirüs yazılımlarının sınırlarını ilk fark eden, kurumsal güvenlik sektörü oldu. Önde gelen siber güvenlik şirketleri, imza tabanlı dosya taramasını tamamlamak veya onun yerini almak üzere yeni nesil antivirüs (YNAV) çözümleri geliştirdi. YNAV’ler, tehditleri tespit etmek için davranışsal algılama ile makine öğrenimi algoritmalarını bir arada kullanıyor. Böylece geleneksel antivirüslerin sıklıkla gözden kaçırdığı kötü amaçlı süreçleri, dosyasız kötü amaçlı yazılımları ve istismar davranışlarını yakalamaya yardımcı oluyorlar.

YNAV çözümleri kurumsal ortamlarda hâlen önemli bir ilerlemeyi temsil ediyor, ancak büyük ölçüde yönetilen kurumsal cihazlar, özel güvenlik ekipleri ve uç noktaların ele geçirilmesine odaklanan bir tehdit modeli için geliştirilmiş durumdalar. Ayrıca, gizliliği ön planda tutan bir tüketici ürününün toplamaması gereken kapsamlı davranışsal telemetri verilerine dayanıyorlar.

Sonuç olarak “antivirüs” kelimesi artık iki farklı anlam taşıyor: Kötü amaçlı dosyaların başlıca tehdit olduğu dönemde günlük kullanıcılar için geliştirilen geleneksel model ve yönetilen kurumsal ortamlar için tasarlanan YNAV modeli. Geleneksel tanım artık güncelliğini yitirmiş durumda, kurumsal tanım ise hiçbir zaman bireysel kullanıcılar için tasarlanmadı. Dolayısıyla ikisi de insanların bugün kişisel cihazlarında karşılaştığı tehditleri tam olarak kapsamıyor.

İnsanlar aslında kötü amaçlı yazılımlara, kimlik avına, kimlik hırsızlığına, dolandırıcılığa ve hesap ele geçirmeye karşı korunmaya ihtiyaç duyarken hâlâ “antivirüs” arıyor. O halde, tanımın da kapsaması beklenen tehditlerle birlikte değişmesi gerekiyor.

NordVPN, “yeni nesil antivirüsü” kapsamlı bir dijital tehdit koruma aracı olarak tanımlıyor. Bu anlayışa göre, yeni nesil bir antivirüsün beş temel alanda koruma sağlaması gerekiyor:

• Dolandırıcılık koruması: Sahte web sitelerini ve mağazaları tespit etmek, kullanıcıları dolandırıcılık amaçlı SMS'ler konusunda uyarmak, şüpheli aramaları belirlemek ve bankacılık oturumlarını korumak.
• Kimlik avı koruması: URL'leri, e-posta bağlantılarını ve web içeriğini gerçek zamanlı olarak değerlendirerek kimlik bilgilerinin çalınmasını kullanıcı bu tehditlerden etkilenmeden önce engellemek.
• Kimlik ve hesap ele geçirmeye karşı koruma: Kimlik hırsızlığı girişimlerini izlemek, dolandırıcılık kalıplarını tespit etmek, internete sızdırılmış kişisel bilgiler için dark web'i taramak ve ele geçirilmiş oturum açma bilgileri hakkında uyarı vermek. Hesaplar açısından ise oturum bilgisi doldurma, oturum ele geçirme, SIM değiştirme ve sosyal mühendislik yoluyla gerçekleştirilen yetkisiz erişim girişimlerini tespit edip uyarmak ve saldırganlar bunlardan yararlanmadan önce zayıf oturum açma bilgilerini tespit etmek.
• İzleyici ve reklam engelleme: Gizliliği zedeleyen, performansı düşüren ve hedefli sosyal mühendislik için ek giriş noktaları oluşturan siteler arası izleyicileri, parmak izi alma komut dosyalarını ve rahatsız edici reklamları engellemek.
• Dosya ve cihaz koruması: İndirilen dosyaları taramak ve kötü amaçlı dosyaları çalıştırılmadan önce karantinaya almak veya kaldırmak.

NordVPN antivirüs kategorisini baştan icat etmiyor, yalnızca insanların zaten bir antivirüsten beklediği korumayı günümüzde karşılaştıkları tehditleri de kapsayacak şekilde genişletiyor.

Yeni nesil antivirüsümüzü nasıl geliştirdik

Etkili dijital koruma, birbiriyle rekabet eden üç taahhüdü dengede tutmayı gerektiriyor: kullanıcı profilleri oluşturmamak, ürünü geliştirmeye yardımcı olan verileri ölçmek ve ürünü kullanıcıdan sürekli dikkat istemeden çalışacak şekilde tasarlamak.

Bu üç unsurdan birini diğerlerinin pahasına öne çıkarmak, müdahaleci, güvenilmez veya kullanımı gereğinden fazla karmaşık bir ürünle sonuçlanabilir. Bir ürünü bu üç ilkenin tamamını gözeterek geliştirmek daha zor, ancak böyle bir ürüne güvenmek de daha kolay.

Kullanıcı profilleri oluşturmuyoruz

NordVPN bir gizlilik şirketi. Kullanıcılarımız bize onları gözetlemediğimiz için güveniyor. Bu yaklaşım önemli bir kısıtlama getiriyor: Tehdit tespiti, normalde ihtiyaç duyduğundan daha az veriyle çalışmak zorunda kalıyor.

Kuralımız basit: Cihazınızdan yalnızca bir tehdidi tanımlamak için gerekli olan veriler çıkıyor. Analizin cihaz yerine sunucularımızda yapılması gerektiğinde, veriler aktarılmadan önce kullanıcıyla ilişkilendirilebilecek unsurları kaldırıyoruz.

Pratikte, bunun anlamı şu:

• Dosyalar mümkün olduğu sürece içeriklerine göre değil, hash değerleri üzerinden kontrol ediliyor.
• Herhangi bir bulut sorgusundan önce URL'lerdeki sorgu parametreleri ve kişisel bilgi içeren kısımlar çıkarılıyor, böylece hiçbir URL belirli bir kullanıcıyla ilişkilendirilmiyor.
• Kimlik doğrulama çerezleri hash'leniyor ve cihazınızdan yalnızca ilk sekiz karakterleri gönderiliyor.

Veri şemamızda kullanıcı tanımlayıcılarını tutacak hiçbir alan bulunmuyor. Böylece gizliliğin korunması birilerinin kurallara uymasına bağlı kalmıyor, sistem bunu tasarımı gereği kendisi dayatıyor.

İzlemeden ölçüm yapıyoruz

Ölçüm olmadan tehdit tespiti yalnızca tahminden ibaret kalır. Kimlik avı sınıflandırıcımızın gelişip gelişmediğini, dolandırıcılık tespitimizin yeni kalıpları yakalayıp yakalamadığını ve modellerimizin hangi tehditleri gözden kaçırdığını bilmemiz gerekiyor. Bunun için geri bildirim verilerine ihtiyacımız var.

Ancak kısıtlamalar olmadan toplanan geri bildirim verileri, güvenlik yazılımını kolayca bir gözetim aracına dönüştürebilir. Biz, bu riski kişisel verileri toplamak yerine tespit sistemlerinin performansını ölçerek azaltıyoruz. Teknoloji yığınımızın her katmanı toplu performans verileri üretiyor:

• Makine öğrenimi sınıflandırıcıları, tespit oranını ve yanlış pozitif oranını bildiriyor.
• Fuzzy hashing (bulanık karma), sınıflandırma hızını ölçüyor.
• Tehdit istihbaratı akışları, kullanılan verilerin ne kadar güncel olduğunu gösteriyor.

Ürün bu metrikleri genel kullanıcı kitlesinden alınan örnekler üzerinden hesaplıyor. Modeller, anonimleştirilmiş tehdit örnekleri ve istatistiksel özetlerle yeniden eğitiliyor. Hiçbir kullanıcının gezinti geçmişi geri bildirim döngüsüne dahil edilmiyor. Yani kimlik avı modelimizin gelişip gelişmediğini görebiliriz, ancak bir tehdit tespit ettiği anda belirli bir kullanıcının ne yaptığını göremeyiz.

Ürünümüzü görünmez olacak şekilde tasarlıyoruz

En iyi güvenlik, insanların üzerinde düşünmek zorunda kalmadığı güvenliktir: yapılandırma gerektirmez, uyarı yorgunluğu yaratmaz ve teknik uzmanlık istemez. Kullanıcılar için görünmez bir ürün geliştirmek, insanların ürünle nasıl etkileşim kurduğunu anlamayı gerektiriyor. Bunun için kullanıcı deneyimini iyileştirmeye yetecek minimum veriyi belirliyor ve daha fazlasını toplamıyoruz.

Kullanıcının onayıyla şu verileri takip ediyoruz:

• Her özelliğin açık veya kapalı olup olmadığı ve ne sıklıkla kullanıldığı.
• Hacim ölçümleri (belirli bir zaman aralığında kaç tehdidin engellendiği).
• Doğrudan anketler aracılığıyla toplanan kullanıcı memnuniyeti puanları.

Bu verilerin hiçbiri bize belirli bir kullanıcının ne yaptığını göstermiyor. Bunlar yalnızca ürünün, kullanıcıların üzerinde düşünmek zorunda kalmayacağı kadar iyi çalışıp çalışmadığını anlamamızı sağlıyor.

Bu düzeydeki veriler, tasarım gereği hassas değil: Davranışları yeniden oluşturmak, niyet çıkarmak veya bir kullanıcı profili oluşturmak için bir araya getirilemiyor.

NordVPN’in yapay zekâ yaklaşımı: Her göreve özel küçük modeller

NordVPN, her biri net biçimde tanımlanmış bir tespit görevi için eğitilmiş küçük ve özel makine öğrenimi modelleri kullanıyor. Tüm tehditleri sınıflandırmaya çalışan tek bir model geliştirmek yerine, farklı tehdit kategorileri için belirli görevleri yerine getiren modeller oluşturuyoruz:

• URL'leri kimlik avı göstergeleri açısından değerlendirmek üzere eğitilmiş bir model.
• Dolandırıcılık amaçlı e-ticaret sayfalarındaki kalıpları belirlemeye odaklanan bir model.
• Dosya davranışını kötü amaçlı yazılım göstergeleri açısından analiz eden bir model.
• Mesajlaşmalardaki sosyal mühendislik kalıplarını tespit etmek üzere ayarlanmış bir model.

Bazı modeller doğrudan kullanıcının cihazında çalışabilecek kadar hafif. Bazıları tarayıcı uzantısının içinde çalışıyor. Daha fazla işlem gücü gerektiren modeller ise arka uçta çalışıyor. İşlem yerel olarak gerçekleştiğinde ilgili veriler cihazda kalıyor ve analiz için harici sunuculara gönderilmiyor.

Her model bağımsız olarak doğrulanıp güncellenebiliyor. Böylece performans düştüğünde sorunun kaynağını tespit edebiliyoruz. Her model ayrı çalıştığı için hiçbiri kullanıcının ilgisini istemiyor veya deneyimini kesintiye uğratmıyor.

Bu ayrım, ölçümü de daha hassas hale getiriyor. Özel bir kimlik avı modeli beklenen performansın altında kaldığında neyi, hangi verilerle yeniden eğitmemiz gerektiğini tam olarak biliyoruz. Örneğin dolandırıcılık tespit modeli yanlış pozitif ürettiğinde, kötü amaçlı yazılım tespitinde herhangi bir değişikliğe yol açmadan yalnızca ilgili modeli ayarlayabiliyoruz. Her model tek bir işe odaklandığı için neyin, neden başarısız olduğunu çok daha kolay belirleyebiliyoruz.

Makine öğrenimi modelleri belirli bir kapsam içinde çok iyi çalışabilir, ancak onları eksiksiz bir çözüm olarak görmek doğru olmaz. Modellerimiz, kural tabanlı sistemler, tehdit istihbaratı akışları ve insan incelemesiyle birlikte çalışıyor, yani her yaklaşım diğerlerinin kapsayamadığı boşlukları tamamlıyor.

Milyonlarca farklı cihaz ve bağlamda tehditleri gerçek zamanlı olarak sınıflandırmak için şimdiye kadar bulduğumuz en etkili yaklaşım, kullanıcı gizliliğinden ödün vermeden çalışan küçük ve amaca özel modeller kullanmak.

Bundan sonra nereye gidiyoruz?

“Antivirüs” terimi ortadan kalkmayacak. İnsanlar dijital korumayı bu kelimeyle tanımlıyor, ürünleri bu terimle arıyor ve satın alıyor. Sektör, bu tanımı dosya taramasıyla sınırlayıp tehdit ortamının geri kalanını başkasının sorunu olarak görmeye devam edebilir. Ya da insanların bugün “antivirüs” kelimesinden beklediği anlama uygun ürünler geliştirebilir.

Biz ikinci yolu seçtik ve dolandırıcılık koruması, kimlik avı tespiti, kimlik izleme ve dosya güvenliğini tek bir üründe bir araya getirdik. Bu ürünü gizlilik ilkelerini temel alarak geliştirdik, performansını titizlikle ölçtük ve kullanıcıların güvenlik uzmanına dönüşmesini gerektirmeden çalışacak şekilde tasarladık.

Günümüzde antivirüs kategorisinin kimlik avı, dolandırıcılık, kimlik hırsızlığı ve kötü amaçlı yazılımlara karşı koruma sunması gerektiğine inanıyoruz. Geliştirdiğimiz ürün de tam olarak bunu yapıyor.

Kaynakça

1 Šlekytė, I. (25 Haziran 2025). NordVPN araştırması ortaya koyuyor: Her üç kişiden biri çevrim içi dolandırıcılığın kurbanı oluyor. NordVPN. https://www.nordvpn.com/blog/scam-experience-research/