DNS firewall based on machine learning

Mestrado em Ciberseguran?a na Escola Superior de Tecnologia e Gest?o do Instituto Polit?cnico de Viana do CasteloNowadays there are many Domain Name Service (DNS) firewall solutions to prevent users to access malicious domains. These can provide real-time protection and block illegitimate communications. Most of these solutions are based on known malicious domain lists that are being constantly updated. However, in this way, it is only possible to block malicious communications for known malicious domains, leaving out many others that are malicious but have not yet been updated in the blocklists. This work intends to provide a DNS firewall solution based on Machine Learning (ML) to improve the detection of malicious DNS requests on the fly. For this purpose, a dataset with thirty-four features and 90000 records was created based on real DNS logs. The data will be enriched using Open Source Intelligence (OSINT) sources. The exploratory analysis and data preparations steps were carried and the final dataset submitted to different Supervised ML algorithms to accurately and timely classify if a domain request is malicious or not. The results show that the ML algorithms were able to classify the benign and malicious domains with accuracy rates between 89% and 96% and the time to test between 0.01 and 3.37 seconds which provides a valuable register to the scientific community which can be applied in firewall systems in order to increase the security analysis and performance.Hoje em dia existem muitas solu??es de firewall DNS (Sistema de Nomes de Dom?nio) para prevenir os utilizadores de acederem a dom?nios maliciosos. Estas podem fornecer prote??o em tempo real e bloquear comunica??es ileg?timas. A maioria destas solu??es s?o baseadas em listas de dom?nios maliciosos j? conhecidos que est?o em constante atualiza??o. No entanto, desta forma, s? ? poss?vel bloquear comunica??es maliciosas para dom?nios maliciosos j? conhecidos, deixando de fora muitos outros que s?o maliciosos mas ainda n?o foram atualizados nas listas de bloqueio. Este trabalho pretende fornecer uma solu??o de firewall DNS baseada em Machine Learning (ML) para melhorar a dete??o de pedidos maliciosos ao DNS em tempo real. Para isso, um conjunto de dados com trinta e quatro caracter?sticas e 90000 registos foi criado com base em logs de DNS reais. Os dados foram enriquecidos usando fontes abertas (OSINT). As fases de an?lise explorat?ria e prepara??o de dados foram realizadas e o conjunto de dados final foi submetido a diferentes algoritmos de ML supervisionados para classificar de forma precisa e oportuna se um dom?nio pedido ao servi?o de DNS ? malicioso ou n?o. Os resultados mostram que os algoritmos de ML foram capazes de classificar os dom?nios benignos e maliciosos com taxas de precis?o entre 89% e 96% e o tempo de teste entre 0,01 e 3,37 segundos, o que fornece um registo valioso para a comunidade cient?fica que pode ser aplicado em sistemas de firewall para melhorar o desempenho e a an?lise de seguran?a