Büyük dil modeli (Llm) kullanarak X (Twitter) verileri tabanlı yerel işlenebilir bir siber tehdit istihbaratı modeli tasarımı

Günümüzdeki siber tehdit istihbaratı (CTI) paylaşımları, çoğunlukla tek başına bir IP adresi veya dosya özeti gibi, tehdidin tam hikayesinden kopuk verilerle sınırlı kalmaktadır. Bu durum, savunma ekiplerinin hangi tehdide öncelik vereceğini belirlemesini zorlaştırmaktadır. X (Twitter) platformu, tehditler hakkında aslında çok daha zengin ve bağlamsal detaylar sunsa da; bu verinin devasa hacmi, gürültülü ve yapılandırılmamış doğası, geleneksel yöntemlerle işlenmesini engellemektedir. Bu tez çalışmasında, X (Twitter) verilerini kullanarak veri egemenliğini koruyan, yerel (onpremise) çalışabilen ve eyleme geçirilebilir sonuçlar üreten, uçtan uca otonom bir CTI modelinin tasarlanması amaçlanmıştır. Geliştirilen Python tabanlı otonom sistem; Selenium kütüphanesi ile veri toplama, Ollama platformu üzerinden yerel olarak çalıştırılan LLaMA 3 modeli ile analiz ve SQLite veritabanında depolama süreçlerini içeren bütüncül bir mimariye sahiptir. Çalışmanın en özgün mühendislik katkısı, Büyük Dil Modellerinin (LLM) deterministik olmayan doğasından kaynaklanan hatalı JSON çıktılarını otonom olarak düzelten "JSON Sağlamlaştırma Protokolü"nün geliştirilmesidir. Elde edilen bulgular, sistemin yapılandırılmamış 62 adet tweet metni üzerinden tehditleri %95'e varan doğruluk oranıyla analiz ettiğini ve tespit edilen içeriklerin %64,5'ini "Yüksek Risk" (High Risk) kategorisinde başarıyla sınıflandırdığını göstermiştir. Yapılan analizlerde "Vulnerability" (13 adet) ve "Threat_Actor" (13 adet) kategorileri en sık rastlanan tehdit türleri olarak öne çıkarken; sistem, CVE numaraları ve tehdit aktörü grupları gibi kritik istihbarat göstergelerini yüksek hassasiyetle ayrıştırmıştır. Bu çalışma, güvenlik açısından kritik verilerin üçüncü taraf sunuculara gönderilmesi riskini ortadan kaldıran, mühendislik açısından dayanıklı ve tam otonom bir CTI çözümünün operasyonel fizibilitesini kanıtlamaktadır.

Currently, cyber threat intelligence (CTI) sharing is mostly limited to isolated data points, such as a single IP address or a file hash, which are disconnected from the full context of the threat. This fragmentation makes it difficult for defense teams to determine accurate prioritization. Although the X (Twitter) platform offers much richer and more detailed information about emerging threats, the sheer volume, noise, and unstructured nature of this data prevent it from being processed through traditional analytical methods. This thesis aims to design an end-to-end autonomous CTI model that utilizes X (Twitter) data, strictly maintains data sovereignty by operating locally (on-premise), and produces actionable intelligence. The developed Python-based autonomous system features a comprehensive architecture that includes dynamic data collection via Selenium, semantic analysis using the LLaMA 3 model running locally through the Ollama platform, and structured storage within an SQLite database. The most original engineering contribution of this research is the development of a "JSON Hardening Protocol," which autonomously corrects the erroneous JSON outputs resulting from the stochastic and unpredictable nature of Large Language Models (LLMs). Experimental findings demonstrate that the system analyzed threats from 62 unstructured tweet texts with an accuracy rate of up to 95%, successfully classifying 64,5% of the detected events into the "High Risk" category. During the evaluations, "Vulnerability" (13 instances) and "Threat_Actor" (13 instances) emerged as the most frequently detected threat categories, while the system extracted critical intelligence indicators—such as CVE IDs and Threat Actor Groups—with high precision. Ultimately, this study proves the operational feasibility of an engineering-resilient and fully autonomous CTI solution that completely eliminates the risk of exposing security-critical data to third-party servers.