HTS Analizinde Anomali Nedir? Bir Yazılım Şüpheli Davranışı Nasıl Fark Eder?

Bir HTS dosyasında yüz binlerce iletişim kaydı bulunabilir.

Bu kayıtların büyük bölümü kişinin olağan iletişim hareketlerinden oluşur. Aile üyeleriyle yapılan görüşmeler, iş bağlantıları, düzenli aramalar, günlük baz hareketleri ve uzun süredir kullanılan cihazlar aynı veri setinin içinde yer alır.

Ancak bazı kayıtlar genel davranıştan ayrışabilir.

Örneğin bir hat:

Uzun süre kullandığı cihazı olaydan hemen önce değiştirmiş,

Daha önce iletişim kurmadığı bir numarayla kısa sürede yoğun şekilde görüşmüş,

Aynı IMEI’yi başka hatlarla ortak kullanmış,

Başka bir hatla yakın zamanlarda aynı baz bölgelerinde tekrar tekrar görünmüş,

Olağan kullanım saatlerinin dışında ani iletişim hareketleri üretmiş olabilir.

Bu tür kayıtlar HTS Analizinde Yapay Zekâ Nerede İşe Yarar, Nerede Karar Vermemelidir?">HTS analizinde anomali olarak değerlendirilebilir.

Peki bir yazılım, yüz binlerce satır arasındaki bu farklılıkları nasıl fark eder?

HTS analizinde anomali nedir?

Anomali, bir hattın veya cihazın olağan kullanım örüntüsünden ayrılan ve daha ayrıntılı incelenmesi gereken kayıt ya da kayıt grubudur.

Buradaki en önemli ifade şudur:

Anomali, kesin suç veya şüphe göstergesi değildir.

Anomali yalnızca:

“Bu kayıt, diğer kayıtlardan farklı bir özellik gösteriyor.” anlamına gelir.

Örneğin aynı IMEI’nin iki farklı hatla ilişkilendirilmesi teknik olarak dikkat çekici olabilir. Ancak kullanıcı SIM kartını değiştirmiş, cihazını aile üyesine vermiş veya yeni bir telefon numarasına geçmiş olabilir.

Dolayısıyla yazılımın görevi:

“Bu kişi suçludur.” demek değildir.

Yazılımın görevi, veri içindeki olağan dışı ilişkileri ve zamanlamaları bularak analistin dikkatini bu noktalara yöneltmektir.

Tek bir sıra dışı kayıt her zaman anomali midir?

Her farklı kayıt aynı öneme sahip değildir.

Bir kişinin gece saatlerinde telefon görüşmesi yapması, ilk bakışta olağan dışı görünebilir. Ancak kişi gece vardiyasında çalışıyorsa bu onun normal iletişim düzeninin bir parçası olabilir.

Benzer şekilde, bir hattın farklı bir IMEI ile ilişkilendirilmesi cihaz değişimi anlamına gelebilir. Kullanıcı yeni telefon aldıysa bu kayıt tamamen olağandır.

Bu nedenle bir kaydın anomali olarak değerlendirilmesinde yalnızca kayıt türüne değil:

Önceki kullanım geçmişine,

Tekrar sayısına,

Zamanlamasına,

Diğer hatlarla ilişkisine,

Olay tarihine yakınlığına,

İletişim ve baz hareketlerine

bakılması gerekir.

Tek bir kayıt dikkat çekebilir. Ancak kayıtlar birlikte değerlendirildiğinde bunun olağan bir değişiklik mi, yoksa incelenmesi gereken bir örüntü mü olduğu daha iyi anlaşılır.

Yazılım olağan davranışı nasıl belirler?

Bir yazılımın olağan dışı davranışı fark edebilmesi için önce normal kullanımın nasıl göründüğünü belirlemesi gerekir.

Örneğin bir hattın geçmiş kayıtlarında:

Genellikle hangi numaralarla görüştüğü,

Günün hangi saatlerinde iletişim kurduğu,

Hangi cihazları kullandığı,

Hangi baz bölgelerinde düzenli olarak kayıt ürettiği,

Görüşme sıklığı ve süreleri,

Cihaz değişikliklerinin ne kadar sık yaşandığı

incelenebilir.

Bu bilgiler hattın genel kullanım örüntüsünü oluşturur.

Daha sonra yeni veya belirli bir döneme ait kayıtlar bu örüntüyle karşılaştırılır.

Örneğin bir hat üç ay boyunca her gün benzer kişilerle iletişim kurarken, olaydan önceki iki saat içinde daha önce hiç görüşmediği bir numarayla on kez iletişim kurmuş olabilir.

Yazılım bu hareketi:

Yeni bir bağlantı,

Ani iletişim yoğunluğu,

Olay zamanına yakın hareket

olarak işaretleyebilir.

Ancak bu işaretleme, görüşmelerin neden yapıldığını açıklamaz. Bunun değerlendirilmesi analiste ve dosyanın diğer delillerine aittir.

Kural tabanlı anomali tespiti nasıl çalışır?

HTS analizinde bazı anomaliler önceden tanımlanan teknik kurallarla belirlenebilir.

Örneğin sisteme şu tür kurallar tanımlanabilir:

Aynı IMEI farklı hatlarla ilişkiliyse işaretle,

Aynı IMEI’nin kullanım zamanları çakışıyorsa göster,

İki hat belirlenen zaman aralığında aynı veya yakın bazlarda görünüyorsa listele,

İletişim sayısı belirlenen seviyenin üzerine çıkarsa yoğunluk uyarısı oluştur,

Olay saatine yakın cihaz değişimi varsa işaretle,

Gelen aramanın karşı tarafında uyumlu giden kayıt bulunamıyorsa göster.

Bu kurallar analizin amacına göre değişebilir.

Örneğin “yakın zaman” için beş dakikalık bir aralık kullanılabileceği gibi, olayın niteliğine göre daha kısa veya daha uzun bir zaman toleransı belirlenebilir.

Dolayısıyla yazılımın ürettiği sonuçlar yalnızca veriye değil, analizde kullanılan kurallara ve eşiklere de bağlıdır.

Bu nedenle raporda kullanılan kriterlerin açıkça belirtilmesi önemlidir.

Ani iletişim yoğunluğu nasıl tespit edilir?

Bir hat belirli numaralarla düzenli biçimde görüşebilir. Bu iletişim sıklığı kişinin olağan davranışının bir parçasıdır.

Ancak normalde haftada bir kez iletişim kuran iki hat, belirli bir olaydan önce kısa süre içinde çok sayıda görüşme yapmaya başlayabilir.

Örneğin:

Normal dönem:

Hat A ↔ Hat B

Haftada 1–2 görüşme

Olaydan önceki iki saat:

Hat A ↔ Hat B

12 görüşme

Yazılım geçmiş dönem ile olay çevresindeki iletişim yoğunluğunu karşılaştırarak ani artışı görünür hâle getirebilir.

Burada yalnızca toplam arama sayısı değil:

Görüşmelerin başlangıç ve bitiş zamanları,

Aramalar arasındaki süre,

Cevaplanan ve cevapsız çağrılar,

SMS hareketleri,

İletişimin tek yönlü veya karşılıklı olması

da değerlendirilebilir.

Ancak ani iletişim artışı tek başına kötü niyetli davranış anlamına gelmez. Acil bir durum, iş süreci veya ailevi bir olay da benzer bir yoğunluk oluşturabilir.

IMEI anomalisi nasıl oluşur?

IMEI, kullanılan cihazla ilişkilidir. Bu nedenle hat ile cihaz arasındaki bağlantı HTS analizinde önemli bir inceleme alanıdır.

Bir hat uzun süre aynı cihazla kullanıldıktan sonra olay tarihine yakın bir zamanda farklı bir IMEI ile ilişkilendirilebilir.

Örneğin:

Hat A → IMEI X → 1 Ocak–18 Mayıs

Hat A → IMEI Y → 19 Mayıs

Bu değişiklik normal bir cihaz yenilemesi olabilir.

Ancak aynı dönemde:

İletişim kurulan kişiler değişmiş,

Baz hareketleri farklılaşmış,

Eski cihaz başka bir hatla kullanılmaya başlanmış,

Yeni IMEI yalnızca kısa süreli görülmüş

olabilir.

Bu durumda cihaz değişimi, diğer kayıtlarla birlikte değerlendirilmesi gereken bir anomali oluşturabilir.

Yazılım değişikliği tespit eder; değişikliğin nedenini ise tek başına belirleyemez.

IMEI zaman çakışması neden önemlidir?

Aynı IMEI’nin farklı hatlarla ilişkilendirilmesi her zaman şüpheli değildir. Aynı cihaz farklı dönemlerde farklı SIM kartlarla kullanılabilir.

Ancak kullanım zamanları çakışıyorsa daha ayrıntılı bir inceleme gerekebilir.

Örneğin:

Hat A → IMEI X → 14.02–15.10

Hat B → IMEI X → 14.35–15.42

İki kullanım dönemi aynı zaman aralığında kesişmektedir.

Yazılım bu kayıtları:

Ortak IMEI + zaman çakışması

olarak işaretleyebilir.

Bu sonuç kayıt hatası, veri tekrarı, cihaz bilgilerindeki teknik sorunlar veya farklı bir kullanım biçiminden kaynaklanabilir. Dolayısıyla tek başına kesin hüküm oluşturmaz.

Ancak yüz binlerce kayıt içinde manuel olarak fark edilmesi zor olan bu çakışmanın otomatik biçimde gösterilmesi, analistin doğrudan ilgili kayıtlara odaklanmasını sağlar.

Baz–zaman anomalisi nasıl belirlenir?

İki farklı hattın aynı zaman aralığında aynı veya yakın baz bölgelerinde kayıt üretmesi, olası bir konumsal kesişime işaret edebilir.

Örneğin:

Hat A → Baz 145 → 19.42

Hat B → Baz 145 → 19.46

Bu iki kayıt arasında dört dakika bulunmaktadır.

Yazılım, belirlenen zaman toleransına göre bu durumu:

Ortak baz + yakın zaman

olarak işaretleyebilir.

Ancak aynı baz istasyonuyla ilişkilendirilmek, kişilerin kesin olarak yan yana olduğunu göstermez. Baz istasyonlarının kapsama alanları geniş olabilir ve çevresel koşullara göre değişebilir.

Bu nedenle daha güçlü bir değerlendirme için:

Bazın hücre veya sektör bilgisi,

Bazlar arasındaki mesafe,

Önceki ve sonraki kayıtlar,

Benzer kesişimlerin tekrar sayısı,

Hatlar arasındaki iletişim hareketleri

birlikte incelenmelidir.

Tek bir baz–zaman kesişimi tesadüfi olabilir. Farklı tarihlerde tekrar eden kesişimler ise daha ayrıntılı değerlendirilmesi gereken bir örüntü oluşturabilir.

Olağan dışı hareket nasıl fark edilir?

HTS kayıtları kesintisiz GPS rotası göstermez. Yalnızca kayıt oluşan anlarda hattın ilişkilendirildiği baz veya hücre bilgilerini sunar.

Bununla birlikte art arda oluşan kayıtlar arasında açıklanması gereken mesafe ve zaman farklılıkları bulunabilir.

Örneğin bir hat:

20.05 → İstanbul’daki Baz A

20.20 → Çok uzak bir bölgedeki Baz B

şeklinde kayıt üretmiş olabilir.

Bu iki nokta arasındaki mesafenin olağan ulaşım koşullarıyla belirtilen sürede aşılması mümkün görünmüyorsa yazılım bir konum–zaman uyumsuzluğu oluşturabilir.

Ancak bu tür bir sonuç değerlendirilirken:

Baz bilgilerinin doğruluğu,

Saat biçimleri,

Operatör kayıt yapısı,

Hücre ve sektör bilgileri,

Veri aktarım hataları,

Kayıtların aynı hatta ait olup olmadığı

kontrol edilmelidir.

Yazılım uyumsuzluğu gösterir; nedenini kendiliğinden açıklamaz.

Karşılığı bulunmayan çağrılar anomali oluşturabilir mi?

Bir çağrının iki tarafındaki kayıtlar karşılaştırıldığında normal olarak gelen ve giden iletişim hareketlerinin birbirini desteklemesi beklenir.

Örneğin:

Hat A: Hat B’ye giden arama

Hat B: Hat A’dan gelen arama

Ancak bir tarafta gelen çağrı bulunurken diğer tarafta karşılık gelen giden arama görülmeyebilir.

Bu durum:

Veri eksikliği,

Operatör kayıt farkı,

Saat uyumsuzluğu,

Çağrı yönlendirmesi,

VoIP veya santral kullanımı,

Caller ID maskeleme ihtimali

gibi farklı nedenlerle oluşabilir.

Yazılım, karşılıklı kayıt eşleşmesini kontrol ederek bu tür uyumsuzlukları analistin dikkatine sunabilir.

Fakat:

“Karşı kayıt bulunamadı, numara kesin olarak maskelenmiştir.”

sonucunu üretmemelidir.

Doğru çıktı:

“Karşılıklı kayıt uyumsuzluğu tespit edildi; ayrıntılı inceleme gerekli.”

şeklinde olmalıdır.

Ortak irtibat yoğunluğu nasıl anomaliye dönüşür?

İki hat birbirini hiç aramamış olabilir. Ancak aynı üçüncü numarayla düzenli biçimde iletişim kurabilir.

Örneğin:

Hat A → Hat C

Hat B → Hat C

Bu ilişki tek başına olağan olabilir.

Ancak Hat A ve Hat B’nin:

Aynı zaman aralıklarında Hat C’yi araması,

İletişimin belirli olaylardan önce yoğunlaşması,

Aynı baz bölgelerinde kayıt üretmesi,

Benzer cihaz ilişkileri göstermesi

durumunda ortak irtibat daha anlamlı bir örüntünün parçası hâline gelebilir.

Yazılım ortak numaraları bulabilir, tekrar sayılarını karşılaştırabilir ve ilişkinin hangi dönemlerde yoğunlaştığını gösterebilir.

Ancak ortak bir kişiyle iletişim kurulması, iki hattın aynı amaçla hareket ettiğini tek başına kanıtlamaz.

Risk seviyesi nasıl belirlenir?

Bir analiz sisteminde anomaliler önem derecesine göre sınıflandırılabilir:

Düşük,

Orta,

Kritik.

Ancak bu seviyeler kişilerin suçluluk derecesini göstermez.

Risk seviyesi; kaydın teknik açıdan ne kadar dikkat gerektirdiğini ifade eder.

Örneğin:

Düşük seviye:

Tek seferlik cihaz değişimi

Orta seviye:

Aynı IMEI’nin farklı hatlarda tekrar görülmesi

Kritik seviye:

Ortak IMEI kullanımıyla birlikte zaman çakışması ve tekrarlayan baz–zaman kesişimleri

Birden fazla teknik işaretin aynı dönemde birlikte görülmesi, kaydın önceliğini artırabilir.

Ancak kritik olarak sınıflandırılan bir anomali bile tek başına hukuki sonuç oluşturmaz. Bu sınıflandırma yalnızca analistin inceleme sırasını belirlemesine yardımcı olur.

Her anomali gerçek bir sorun mudur?

Hayır.

Anomali tespit sistemleri yanlış pozitif sonuçlar üretebilir.

Yanlış pozitif, olağan bir hareketin sistem tarafından dikkat çekici veya riskli olarak işaretlenmesidir.

Örneğin:

Aynı cihazı aile üyeleri sırayla kullanabilir,

Bir kişi iş nedeniyle gece saatlerinde görüşme yapabilir,

Aynı bölgede çalışan kişiler sürekli aynı bazlarda görünebilir,

Çağrı merkezi çalışanı çok sayıda numarayla iletişim kurabilir,

Kullanıcı kısa sürede birden fazla SIM kart deneyebilir.

Bu davranışlar sistemde anomali oluşturabilir; ancak makul ve yasal açıklamaları bulunabilir.

Bu nedenle anomali tespitinden sonra mutlaka:

Dayanak kayıtlar kontrol edilmeli,

Verinin doğruluğu incelenmeli,

Olayın bağlamı değerlendiril­meli,

Diğer teknik bulgularla karşılaştırma yapılmalıdır.

Anomaliden teknik bulguya nasıl geçilir?

Bir anomalinin raporlanabilir teknik bulguya dönüşebilmesi için birkaç aşamadan geçmesi gerekir.

1. Anomali belirlenir

Sistem, tanımlanan kural veya karşılaştırma sonucunda olağan dışı kaydı işaretler.

2. Dayanak kayıtlar incelenir

Anomaliyi oluşturan tarih, saat, numara, IMEI, baz ve iletişim kayıtları kontrol edilir.

3. Diğer verilerle karşılaştırılır

Bulgunun başka iletişim hareketleri, cihaz ilişkileri, baz kayıtları ve zaman çizelgesi tarafından desteklenip desteklenmediği incelenir.

4. Alternatif açıklamalar değerlendirilir

Cihaz değişimi, kayıt hatası, aile içi kullanım, iş ilişkisi veya operatör kaynaklı farklılık gibi olağan açıklamalar göz önünde bulundurulur.

5. Teknik sonuç ölçülü bir dille raporlanır

Sonuç, mevcut verinin gösterdiği sınırlar içinde ifade edilir.

Örneğin:

“İki kişi kesin olarak birlikte hareket etmiştir.”

yerine:

“Hat A ve Hat B’nin üç farklı tarihte, en fazla beş dakika farkla aynı veya yakın baz bölgelerinde kayıt ürettiği belirlenmiştir.”

denmesi daha doğru ve denetlenebilir bir teknik bulgu oluşturur.

Bir yazılım karar verir mi?

Hayır.

HTS analiz yazılımı:

Verileri karşılaştırabilir,

İlişkileri çıkarabilir,

Tekrarlayan örüntüleri gösterebilir,

Tanımlanan kurallara uyan kayıtları işaretleyebilir,

Olası uyumsuzlukları önceliklendirebilir.

Ancak yazılım:

Görüşmenin neden yapıldığını bilemez,

Kişinin niyetini belirleyemez,

Anomalinin olağan bir açıklaması olup olmadığını tek başına değerlendiremez,

Bir kişinin suçlu veya suçsuz olduğuna karar veremez.

Yazılımın ürettiği sonuç, analistin değerlendireceği teknik bir uyarıdır.

Son karar; verinin kapsamı, diğer deliller ve olayın bütünü dikkate alınarak uzmanlar ve yetkili merciler tarafından verilir.

HTS Asistanı’nın yaklaşımı

HTS Asistanı, yüz binlerce kayıt arasında gözden kaçabilecek ilişkileri ve olağan dışı hareketleri görünür hâle getirmeyi amaçlar.

Sistem:

İletişim yoğunluğundaki ani değişimleri,

Yeni veya tekrarlayan numara ilişkilerini,

Ortak irtibatları,

IMEI ve hat eşleşmelerini,

IMEI kullanım zamanı çakışmalarını,

Cihaz değişikliklerini,

Baz–zaman kesişimlerini,

Karşılıklı kayıt uyumsuzluklarını,

Olağan kullanım örüntüsünden ayrılan hareketleri

analistin incelemesine sunabilir.

Her anomali, ilgili ham kayıtlarla birlikte gösterilmelidir. Böylece analist sistemin neden uyarı oluşturduğunu kontrol edebilir ve sonucu diğer verilerle karşılaştırabilir.

Amaç otomatik hüküm vermek değil; büyük veri içindeki dikkat çekici noktaları daha hızlı, karşılaştırılabilir ve denetlenebilir hâle getirmektir.

Çünkü HTS analizinde anomali sonucun kendisi değildir.

Anomali, doğru sorunun nerede sorulması gerektiğini gösteren teknik bir işarettir.

Bağlantıları analiz et, gerçeği ortaya çıkar.