Monero Kripto Para Madenciliğinin Ağ Trafiği Analizi: İstatistiksel ve Tayf Karakteristiği

Ağ trafiği analizi, siber güvenlik ve bilişim sistemlerin performansı için günümüzde stratejik öneme sahiptir. Bu çalışma, Monero kripto para biriminin madencilik süreci sırasında ve sistemin boşta olduğu anlarda yakalanan ağ trafiği verilerini karşılaştırmalı olarak analiz etmektedir. Amaç, madencilik etkinliklerinin ağ trafiğinde oluşturduğu istatistiksel farkları ortaya koymak ve bu farklardan yola çıkarak izinsiz kripto madenciliği (cryptojacking) gibi tehditlerin tespiti için yöntem geliştirmektir. Çalışmada, Ubuntu işletim sisteminde tcpdump aracıyla toplanan toplam 7.5 milyondan fazla ağ paketi analiz edilmiştir. Ağ trafiği, madencilik yapılan iki ayrı gün ve sistemin boşta kaldığı bir dönem için ayrı ayrı incelenmiştir. Analiz sürecinde Hurst katsayısı ile özbenzerlik, CDF ile dağılım yapısı, otokorelasyon ile periyodiklik, güç spektral yoğunluğu (PSD) ile frekans bileşenleri ve toplu trafik analizi ile zaman ölçeğindeki değişimler değerlendirilmiştir. Madencilik trafiğinde daha yüksek ortalama paket boyutları (~950 bayt), daha kısa paket arası süreler (~0.02 sn) ve daha belirgin periyodik desenler gözlemlenmiştir. Buna karşın sistem boşta iken trafik, düşük yoğunluklu, daha rastlantısal ve istatistiksel olarak farklı karakterde seyretmiştir. Elde edilen bulgular, kripto madenciliğinin ağda iz bırakan yapısal özellikler oluşturduğunu ve bu özelliklerin ağ izleme sistemleri tarafından istatistiksel yöntemlerle tespit edilebileceğini göstermektedir. Böylece siber güvenlik kapsamında erken uyarı sistemlerinin geliştirilmesi ve zararlı madencilik faaliyetlerinin belirlenmesi mümkün hale gelmektedir.

Network traffic analysis is of strategic importance today for cybersecurity and the performance of information systems. This study comparatively analyzes the network traffic data captured during the mining process of the Monero cryptocurrency and during idle moments of the system. The aim is to reveal the statistical differences in network traffic caused by mining activities and to develop a method for detecting threats such as unauthorized cryptocurrency mining (cryptojacking) based on these differences. In the study, a total of more than 7.5 million network packets collected with the tcpdump tool on the Ubuntu operating system were analyzed. Network traffic was examined separately for two different days of mining and a period when the system was idle. During the analysis process, self-similarity with the Hurst exponent, distribution structure with CDF, periodicity with autocorrelation, frequency components with power spectral density (PSD), and changes in the time scale with aggregate traffic analysis were evaluated. In mining traffic, higher average packet sizes (~950 bytes), shorter inter-packet intervals (~0.02 seconds), and more distinct periodic patterns have been observed. In contrast, when the system was idle, the traffic was low-density, more random, and statistically different in character. The findings obtained indicate that cryptocurrency mining creates structural features that leave traces on the network, and these features can be detected by network monitoring systems using statistical methods. Thus, it becomes possible to develop early warning systems within the scope of cybersecurity and to identify malicious mining activities.