dusuk-etkilesimli-honeypot-ile-saldirgan-ttp-analizi

● HTML ★ 2 ⑂ 0 Last updated: November 25, 2025

Cowrie Honeypot Log Analizi

Ağ Güvenliği ve Analizi Dersi - Yüksek Lisans Projesi

📊 Proje Özeti

Bu proje, Cowrie SSH/Telnet honeypot sistemi üzerinden toplanan gerçek saldırı loglarının kapsamlı analizini içermektedir. Honeypot, siber saldırganların davranışlarını izlemek ve saldırı tekniklerini anlamak için kullanılmıştır.

🎯 Analiz Sonuçları - Temel Bulgular

Genel İstatistikler

Toplam Event: 494,741
Benzersiz Saldırgan IP: 5,018
Toplam Oturum: 78,337
Login Denemesi: 69,734
Başarılı Login: 25,247 (36.20%)
Başarısız Login: 44,487 (63.80%)

🔍 Önemli Bulgular

1. En Çok Hedeflenen Kullanıcı Adları

root - 25,832 deneme (Sistem yöneticisi hesabı)
345gs5662d34 - 8,164 deneme (Bot/automated attack)
admin - 2,340 deneme
user - 1,516 deneme
test - 711 deneme

Analiz: Saldırganlar öncelikle yönetici yetkisine sahip hesapları hedefliyor. "root" hesabı tüm denemelerin %37'sini oluşturuyor.

2. En Çok Kullanılan Şifreler

345gs5662d34 - 8,164 deneme
3245gs5662d34 - 8,106 deneme
123456 - 4,273 deneme
admin - 1,674 deneme
123 - 1,524 deneme
Ctyun@2025 - 747 deneme

Analiz:

Basit sayısal şifreler hala en popüler
Otomatik botlar özel pattern'ler kullanıyor
Bulut servis sağlayıcı default şifreleri hedefleniyor (Ctyun@2025)

3. Başarılı Saldırı Oranı

%36.20 başarı oranı, honeypot'un saldırganları içeri çekmek için kasıtlı olarak zayıf parolaları kabul ettiğini gösteriyor
En başarılı kimlik bilgisi: root:Ctyun@2025

🌍 Saldırı Kaynakları

En Aktif 10 Saldırgan IP

Detaylı IP listesi analiz raporunda mevcuttur. Saldırılar dünya genelinden geliyor:

Çin
Rusya
ABD
Avrupa
Diğer Asya ülkeleri

🛠️ Kullanılan SSH Client'lar

Popüler SSH Client Versiyonları

SSH-2.0-libssh2_1.11.1 - Modern bot yazılımları
SSH-2.0-OpenSSH_7.4 - Eski OpenSSH versiyonları
SSH-2.0-Go - Go dilinde yazılmış botlar
SSH-2.0-libssh_0.11.1 - libssh kütüphanesi

Analiz: Saldırganlar çoğunlukla otomatik bot yazılımları ve scriptler kullanıyor.

⏰ Zaman Bazlı Analizler

Saatlik Dağılım

Saldırılar 7/24 devam ediyor
Belirgin bir "sessiz saat" yok
Bu, otomatik botların sürekli aktif olduğunu gösteriyor

Günlük Trend

Saldırılar sürekli ve kararlı
Bazı günlerde ani artışlar görülüyor (botnet kampanyaları)

📈 Oluşturulan Grafikler

01_genel_istatistikler.png - Genel istatistiklerin bar grafiği
02_login_credentials.png - En çok kullanılan kullanıcı adı ve şifreler
03_login_success_rate.png - Başarılı vs başarısız login oranları (pasta grafiği)
04_top_attacker_ips.png - En aktif saldırgan IP adresleri
05_ssh_clients.png - SSH client versiyonları dağılımı
06_time_patterns.png - Saatlik ve günlük saldırı patternleri
07_event_types.png - Event türlerinin dağılımı

📷 Grafikler ve Görseller

Genel Grafikler

1. Genel İstatistikler

Genel İstatistikler Bu grafik, saldırıların genel istatistiklerini görselleştirir.

2. Login Bilgileri

3. Login Başarı Oranları

4. En Aktif Saldırgan IP'ler

En Aktif Saldırgan IP'ler En aktif saldırgan IP adreslerinin dağılımını gösterir.

5. SSH Client Versiyonları

Saldırılarda kullanılan SSH client versiyonlarının dağılımını görselleştirir.

6. Zaman Bazlı Saldırı Patternleri

Zaman Bazlı Saldırı Patternleri Saldırıların saatlik ve günlük dağılımını görselleştirir.

7. Event Türleri

Saldırı loglarındaki event türlerinin dağılımını görselleştirir.

TTP Grafikler

1. Coğrafi Dağılım

Saldırıların coğrafi dağılımını görselleştirir.

2. Taktik Dağılımı

Taktik Dağılımı Saldırganların kullandığı taktiklerin dağılımını görselleştirir.

3. Komut Kategorileri

Komut Kategorileri Saldırılarda kullanılan komutların kategorilere göre dağılımını gösterir.

4. Zaman Çizelgesi

Saldırıların zaman çizelgesini görselleştirir.

DÜNYA HARİTASI VE IP GÖRSELLEŞTİRME

DÜNYA HARİTASI VE IP GÖRSELLEŞTİRME Isı Haritası, aktivite sayısı yüksek IP’ler daha parlak / daha yoğun görünüyor.

DÜNYA HARİTASI VE IP GÖRSELLEŞTİRME İşaretleyici Harita , en aktif IP’lerin detaylarını tek tek görebildiğim marker tabanlı haritadır.

DÜNYA HARİTASI VE IP GÖRSELLEŞTİRME Küme Haritası, dünyanın neresinde saldırı yoğunluğu olduğunu kümeleme yaklaşımıyla gösteren haritadır.

🔐 Güvenlik Önerileri

1. Şifre Güvenliği

❌ Basit şifreler kullanmayın (123456, admin, password)
✅ En az 12 karakter, karışık karakterler
✅ Şifre yöneticisi kullanın

2. SSH Güvenliği

✅ SSH key authentication kullanın
✅ Root login'i devre dışı bırakın
✅ Fail2ban gibi araçlar kullanın
✅ Default port'u (22) değiştirin
✅ 2FA (Two-Factor Authentication) aktif edin

3. Sistem Güvenliği

✅ Default kullanıcı adlarını değiştirin
✅ Güncel sistem kullanın
✅ Güvenlik yamalarını düzenli uygulayın
✅ Sadece gerekli portları açık tutun

4. Monitoring

✅ Log monitoring sistemleri kurun
✅ Anormal aktiviteleri tespit edin
✅ IDS/IPS sistemleri kullanın

📚 Teknik Detaylar

Honeypot Sistemi

Platform: Cowrie (SSH/Telnet Honeypot)
Protokol: SSH (Port 2222)
Toplam Log Dosyası: 25 adet
Log Formatı: JSON + Text
Analiz Dönemi: Ekim-Kasım 2025

Analiz Araçları

Dil: Python 3.14
Kütüphaneler:
- matplotlib - Grafik görselleştirme
- seaborn - İstatistiksel grafikler
- pandas - Veri analizi
- numpy - Numerik hesaplamalar

🎓 Akademik Değer

Bu analiz aşağıdaki konularda önemli bilgiler sağlıyor:

Saldırı Teknikleri: Brute-force, dictionary attack, credential stuffing
Saldırgan Profili: Otomatik botlar, script kiddies, organize gruplar
Hedef Seçimi: Yönetici hesapları, default credentials
Saldırı Zamanlaması: Sürekli, otomatik, koordineli
Araçlar ve Teknikler: Libssh, OpenSSH, custom botlar

📝 Sonuç ve Değerlendirme

Ana Bulgular

Yoğun Brute-Force Saldırıları: Dakikada onlarca deneme
Otomatik Botlar Hakimiyeti: İnsan müdahalesi minimum
Zayıf Şifreler Hedefte: Basit kombinasyonlar çok deneniyor
Global Tehdit: Dünyanın her yerinden saldırı geliyor
7/24 Aktivite: Hiç durmayan saldırı trafiği

Önerilen Savunma Stratejisi

Proaktif Güvenlik: Honeypot'lar ile tehdit istihbaratı
Güçlü Kimlik Doğrulama: SSH key + 2FA
Sürekli İzleme: Log analizi ve anomali tespiti
Düzenli Güncelleme: Sistem ve yazılım yamaları
Eğitim: Kullanıcı farkındalığı ve güvenlik kültürü

📁 Dosya Yapısı

elif-cowrie/
├── cowrie/                          # Ham log dosyaları
│   ├── cowrie.json                  # JSON formatında loglar
│   ├── cowrie.json.2025-*           # Tarihli JSON logları
│   └── cowrie.log.2025-*            # Tarihli text logları
├── graphs/                          # Oluşturulan grafikler
│   ├── 01_genel_istatistikler.png
│   ├── 02_login_credentials.png
│   ├── 03_login_success_rate.png
│   ├── 04_top_attacker_ips.png
│   ├── 05_ssh_clients.png
│   ├── 06_time_patterns.png
│   └── 07_event_types.png
├── ttp_graphs/                     # TTP grafikler
│   ├── ttp_01_cografi_dagilim.png
│   ├── ttp_02_taktik_dagilimi.png
│   ├── ttp_03_komut_kategorileri.png
│   └── ttp_04_zaman_cizelgesi.png
├── analyze_cowrie_logs.py           # Ana analiz scripti
├── requirements.txt                 # Python bağımlılıkları
├── cowrie_analiz_raporu.txt         # Detaylı metin raporu
└── README.md                        # Bu dosya

🚀 Kullanım

Kurulum

# Virtual environment oluştur
py -m venv venv

# Virtual environment'ı aktif et
.\venv\Scripts\Activate.ps1

# Gerekli kütüphaneleri kur
pip install -r requirements.txt

Analizi Çalıştırma

python analyze_cowrie_logs.py

Çıktılar

graphs/ klasöründe 7 adet yüksek çözünürlüklü grafik (300 DPI)
cowrie_analiz_raporu.txt detaylı metin raporu

👨‍🎓 Proje Bilgileri

Ders: Ağ Güvenliği ve Analizi
Seviye: Yüksek Lisans
Konu: Honeypot Log Analizi ve Siber Saldırı Patternleri
Tarih: Kasım 2025

🔗 Ek Kaynaklar

Cowrie Honeypot - Resmi GitHub repo
OWASP Top 10 - Web güvenliği
NIST Cybersecurity Framework - Güvenlik çerçevesi

⚠️ Yasal Uyarı

Bu proje sadece eğitim ve araştırma amaçlıdır. Honeypot sistemleri yalnızca kendi ağınızda, yasal izinlerle kurulmalıdır. Elde edilen veriler etik kurallara uygun şekilde kullanılmalıdır.

Hazırlayan: Elif
Tarih: Kasım 2025
Ders: Ağ Güvenliği ve Analizi (Yüksek Lisans)