Reference number : 172-2019-2020-Q4-945265, amendment number : , agreement type : G, recipient legal name : The University of New Brunswick, recipient country : CA, recipient province : NB, recipient city : Fredericton, recipient postal code : E3B 5A3, program name english : Collaborative Science, Technology and Innovation Program – Ideation Fund, program name french : Programme de collaboration en science, en technologie et en innovation – Fonds d’idéation, program purpose english : The Ideation Fund is intended to encourage, test and validate transformative research ideas generated by teams of NRC scientific personnel and external collaborators with complementary capabilities, acting as a demonstration phase for a continually-evolving suite of research and development (R&D) deliverables at the NRC. The fund supports exploratory research through two mechanisms: the New Beginnings Initiative and the Small Teams Initiative., program purpose french : Le Fonds d’idéation vise à encourager, à mettre à l’essai et à valider les idées de recherche transformatrice des équipes scientifiques du CNRC et des collaborateurs externes dotés de capacités complémentaires. Il servira ainsi de plateforme de démonstration d’une série de produits livrables en matière de recherche-développement (R-D) en constante évolution au CNRC. Le Fonds appuie la recherche exploratoire au moyen de deux mécanismes : l’Initiative « Nouveaux débuts » et l’Initiative « Petites équipes »., agreement title english : Conditional High Utility Pattern Mining for Cyber Attack Detection, agreement title french : Exploration des configurations conditionnelles les plus utiles pour la détection des cyberattaques, agreement number : 945265, agreement value : 20000.0, agreement start date : 2020-03-20, agreement end date : 2021-03-31, description english : Detecting and identifying malicious activity occurring on a network of host machines can be extremely difficult in attack scenarios such as Advanced Persistent Threats (APT) where attackers move laterally from host to host. Sequential pattern analysis methods can be used to detect the presence of potentially malicious behaviour on a network. With multi-host detection, however, the challenge lies in recognizing patterns of host activity that may not be of particular interest on their own, but when considered with the presence or absence of activities occurring on other host machine, may be part of a more concerning sequence of events. The focus of this project is the creation of conditional high-utility sequential pattern mining methods to compute the criticality of identified patterns given the existence of particular patterns on different hosts. Making this challenge particularly difficult is the fact that the complexity of APT attacks, coupled with the general lack of success in identifying APT attacks and, in particular, the lateral movement of attackers, means that publicly available labeled real-world datasets containing this type of behaviour are virtually nonexistent. As a result, many studies validate proposed methods on real operational data that has been injected with artificial attack traces. The difficulty is that these artificial infiltrations tend to be unrealistic, and as a result are easily recognizable amongst the true operational data. In the absence of true APT data that can be used to successfully train effective ML models for the detection of lateral movement, further research will be conducted into the generation of realistic synthetic datasets for APT attacks, with a focus on the advancement of the current state of the art in synthetic data for malicious lateral movement., description french : Détecter et reconnaître les activités malveillantes sur un réseau de machines hôtes peut s’avérer extrêmement difficile dans certains cas. C’est notamment celui des menaces persistantes avancées (MPA) où le pirate se déplace latéralement d’un hôte à l’autre. On peut recourir à l’analyse des schémas séquentiels pour déceler les activités qui pourraient nuire au réseau. La difficulté, lorsque l’on veut repérer les activités de cette nature sur une multitude d’hôtes, consiste à identifier celles qui ne suscitent aucun intérêt particulier en soi, mais qui, en présence ou en l’absence d’autres activités, sur une autre machine, pourraient s’inscrire dans une séquence d’événements nettement plus inquiétante. Le projet vise à créer des méthodes pour explorer en profondeur les séquences d’événements conditionnellement à leur fréquence, en vue d’établir la dangerosité de certains schémas quand on les découvre sur différents hôtes. La complexité des attaques MPA et la difficulté générale que pose leur identification, surtout quand les attaques se produisent latéralement, rendent le défi particulièrement ardu, car il n’existe pratiquement aucun jeu de données public sur ce type d’activités se rapprochant de la réalité. Par conséquent, de nombreuses études valident les méthodes proposées en se fondant sur les données réelles relatives aux opérations auxquelles on a injecté artificiellement des traces de cyberattaques. Le problème est que les infiltrations artificielles de ce genre ont tendance à être irréalistes. Elles se reconnaissent donc aisément parmi les données réelles. En l’absence de véritables données sur les menaces persistantes avancées qui pourraient être utilisées pour entraîner avec succès des modèles d’apprentissage automatique efficaces pour la détection des mouvements latéraux, des recherches supplémentaires seront menées pour générer des ensembles de données synthétiques réalistes pour les attaques par menaces persistantes avancées, en mettant l’accent sur l’avancement de l’état actuel de la technique en matière de données synthétiques pour les mouvements latéraux malveillants., expected results english : In the short term, anticipated outcomes will be strengthened collaborations across industry, academia, and government to support research excellence. In the medium term, anticipated outcomes will be the development of new and potentially disruptive technologies with collaborators., expected results french : À court terme, les résultats prévus sont des collaborations renforcées dans l’ensemble de l’industrie, du milieu universitaire et du gouvernement afin d’appuyer l’excellence en recherche. À moyen terme, les résultats prévus sont le développement de technologies potentiellement perturbatrices avec des collaborateurs., additional information english : This agreement has been amended 1 time(s). The end date of this agreements has been modified by 63 days., additional information french : Cet accord a été modifié 1 fois La date de fin du présent accord a été changé de  63 jours., owner organization : nrc-cnrc, owner organization title : National Research Council Canada | Conseil national de recherches Canada