StealthWatch Security Events and Alarm Categories

240 Pages·2017·1.93 MB·English

Security Events and Alarm Categories
(for Stealthwatch System v6.10.0)
Copyrights and Trademarks
© 2017 Cisco Systems, Inc. All rights reserved.
NOTICE
THE SPECIFICATIONS AND INFORMATION REGARDING THE PRODUCTS IN 
THIS MANUAL ARE SUBJECT TO CHANGE WITHOUT NOTICE. ALL 
STATEMENTS, INFORMATION, AND RECOMMENDATIONS IN THIS MANUAL 
ARE BELIEVED TO BE ACCURATE BUT ARE PRESENTED WITHOUT 
WARRANTY OF ANY KIND, EXPRESS OR IMPLIED. USERS MUST TAKE FULL 
RESPONSIBILITY FOR THEIR APPLICATION OF ANY PRODUCTS.
THE SOFTWARE LICENSE AND LIMITED WARRANTY FOR THE 
ACCOMPANYING PRODUCT ARE SET FORTH IN THE INFORMATION PACKET 
THAT SHIPPED WITH THE PRODUCT AND ARE INCORPORATED HEREIN BY 
THIS REFERENCE. IF YOU ARE UNABLE TO LOCATE THE SOFTWARE 
LICENSE OR LIMITED WARRANTY, CONTACT YOUR CISCO 
REPRESENTATIVE FOR A COPY.
The Cisco implementation of TCP header compression is an adaptation of a program 
developed by the University of California, Berkeley (UCB) as part of UCB's public 
domain version of the UNIX operating system. All rights reserved. Copyright © 1981, 
Regents of the University of California.
NOTWITHSTANDING ANY OTHER WARRANTY HEREIN, ALL DOCUMENT 
FILES AND SOFTWARE OF THESE SUPPLIERS ARE PROVIDED "AS IS" WITH 
ALL FAULTS. CISCO AND THE ABOVE-NAMED SUPPLIERS DISCLAIM ALL 
WARRANTIES, EXPRESSED OR IMPLIED, INCLUDING, WITHOUT LIMITATION, 
THOSE OF MERCHANTABILITY, FITNESS FOR A PARTICULAR PURPOSE AND 
NONINFRINGEMENT OR ARISING FROM A COURSE OF DEALING, USAGE, OR 
TRADE PRACTICE.
IN NO EVENT SHALL CISCO OR ITS SUPPLIERS BE LIABLE FOR ANY 
INDIRECT, SPECIAL, CONSEQUENTIAL, OR INCIDENTAL DAMAGES, 
INCLUDING, WITHOUT LIMITATION, LOST PROFITS OR LOSS OR DAMAGE TO 
DATA ARISING OUT OF THE USE OR INABILITY TO USE THIS MANUAL, EVEN 
IF CISCO OR ITS SUPPLIERS HAVE BEEN ADVISED OF THE POSSIBILITY OF 
SUCH DAMAGES.
Any Internet Protocol (IP) addresses and phone numbers used in this document are 
not intended to be actual addresses and phone numbers. Any examples, command 
display output, network topology diagrams, and other figures included in the 
document are shown for illustrative purposes only. Any use of actual IP addresses or 
phone numbers in illustrative content is unintentional and coincidental.
All printed copies and duplicate soft copies are considered un-Controlled copies and 
the original on-line version should be referred to for latest version.
Cisco has more than 200 offices worldwide. Addresses, phone numbers, and fax 
numbers are listed on the Cisco website at www.cisco.com/go/offices.
C
ONTENTS
Contents iii
Introduction 1
Overview 1
Audience 1
Related Information 1
Acronyms 1
Security Event List 3
Addr (Address) Scan/tcp 3
Addr (Address) Scan/udp 7
Bad Flag ACK (Acknowledge) ** 11
Bad Flag All ** 15
Bad Flag NoFlg ** 18
Bad Flag Rsrvd (Reserved) 21
Bad Flag RST (Reset) ** 25
Bad Flag SYN (Synchronize) FIN (Finish) ** 28
Bad Flag URG (Urgent) ** 31
Beaconing Host 35
Bot Command & Control Server 38
Bot Infected Host - Attempted C&C Activity 39
Bot Infected Host - Successful C&C Activity 41
Brute Force Login 42
Connection from Bogon Address Attempted 46
Connection from Bogon Address Successful 48
Connection from Tor Attempted 49
Connection from Tor Successful 50
Connection to Bogon Address Attempted 51
Connection to Bogon Address Successful 53
Connection to Tor Attempted 55
Connection to Tor Successful 56
Fake Application Detected 57
Flow Denied 61
Frag Packet Too Long ** 63
Frag Packet Too Short ** 66
Contents
©2017CiscoSystems,Inc.AllRightsReserved.
iii
Frag Sizes Differ ** 70
Half Open Attack 73
High File Sharing Index 75
High SMB Peers 78
High Total Traffic 81
High Traffic 83
High Volume Email 84
Host Lock Violation 87
ICMP Comm (Communication) Admin * 88
ICMP Dest (Destination) Host Admin * 89
ICMP Dest (Destination) Host Unk (Unknown)* 90
ICMP Dest (Destination) Net Admin * 91
ICMP Dest (Destination) Net Unk (Unknown) * 92
ICMP Flood 93
ICMP Frag (Fragmentation) Needed * 96
ICMP Host Precedence * 97
ICMP Host Unreach * 98
ICMP Host Unreach  TOS (Type of Service) * 99
ICMP Net Unreach  * 100
ICMP Net Unreach TOS * 101
ICMP Port Unreach * 102
ICMP Precedence Cutoff * 103
ICMP Proto (Protocol) Unreach  * 104
ICMP Received 105
ICMP Src (Source) Host Isolated * 106
ICMP Src (Source) Route Failed * 107
ICMP Timeout 108
Inside Tor Entry Detected 111
Inside Tor Exit Detected 113
Low Traffic 114
MAC Address Violation 115
Mail Rejects 116
Mail Relay 119
Max Flows Initiated 122
Max Flows Served 123
New Flows Initiated 125
New Flows Served 126
Contents
©2017CiscoSystems,Inc.AllRightsReserved.
iv
New Host Active 128
Packet Flood 129
Ping 132
Ping Oversized Packet 133
Ping Scan 136
Port Scan 140
Reset/tcp 143
Reset/udp 146
Scanner Talking 150
Slow Connection Flood 153
Spam Source 156
Src=Des (Source=Destination) 159
SSH Reverse Shell 160
Stealth Scan/tcp 163
Stealth Scan/udp 167
Suspect Data Hoarding 170
Suspect Data Loss 173
Suspect Long Flow 177
Suspect Quiet Long Flow 178
Suspect UDP Activity 180
SYN Flood 182
SYNs Received 186
Talks to Phantoms 187
Target Data Hoarding 191
Timeout/tcp 194
Timeout/udp 197
Touched 200
Trapped Host 201
UDP Flood 202
UDP Received 205
Watch Host Active 207
Watch Port Active 208
Worm Activity 209
Worm Propagation 213
Alarm Categories 217
Anomaly 217
C&C (Command & Control) 218
Contents
©2017CiscoSystems,Inc.AllRightsReserved.
v
Exfiltration 219
Data Hoarding 220
Exploitation 220
Concern Index 221
DDoS Source 225
DDoS Target 225
Target Index 226
Policy Violation 229
Recon 230
Contents
©2017CiscoSystems,Inc.AllRightsReserved.
vi
Introduction
1 
I
NTRODUCTION
Overview
This document provides descriptive lists of the security events and alarm categories that you may 
see while using the Stealthwatch Management Console (SMC). 
Audience
This document is intended to be used as a reference for network administrators and security 
personnel responsible for using the SMC to manage and secure their networks.
Related Information
You can find this information also in the SMC Client Online Help under the following topics:
  Security Event List
l
  About Alarm Categories
l
Acronyms
This document uses the following terms and their acronyms.
Acronym Term
ASA Adaptive Security Appliance
CI Concern Index
DNS Domain Name System (Service or Server)
DoS Denial of Service
dvPort Distributed Virtual Port
ESX Enterprise Server X
FSI File Sharing Index
FTP File Transfer Protocol
ICMP Internet Control Message Protocol
©2017CiscoSystems,Inc.AllRightsReserved.
1
Introduction
Acronym Term
IDS Intrusion Detection System
IP  Internet Protocol
IRC Internet Relay Chat
ISE Identity Services Engine
MAC Media Access Control
NAT Network Address Translation
NTP Network Time Protocol
OS Operating System
OVF Open Virtualization Format
RAID Redundant Array of Independent Discs
SMC Stealthwatch Management Console
SNMP Simple Network Management Protocol
TCP Transmission Control Protocol
TI Target Index
UDP User Datagram Protocol
VDS Virtual Network Distributed Switch
VE Virtual Edition
VLAN Virtual Local Area Network
VM Virtual Machine
VPN Virtual Private Network
©2017CiscoSystems,Inc.AllRightsReserved.
2
SecurityEventList
2 
S E L
ECURITY VENT IST
A security event is the mechanism that assigns index points to an alarm. If you disable a security 
event, index points will not accumulate against the alarms associated with it.
Security events contribute index points for specific alarm categories. Both alarm categories and 
security events can trigger alarms, depending on settings applied in policies. For more 
information, refer to the SMC client interface online Help topic Add/Edit Role Policy.
Security events can be disabled    for specific services and disabled at the host group level. Refer to 
Host Group Properties in the SMC client interface and online Help for more information.
Note: We are currently in the process of updating and expanding security event information.
The new format includes information (presented in several tables) such as event description,
what it means when an event is triggered, the steps you should take to investigate further,
and much more. During this transition, some security events in this topic will not contain all
of the tables and some entries will remain blank until they are augmented with the additional
information.
Refer to the following for information about security events.
** The Stealthwatch Flow Collector for NetFlow supports these security events only when it is 
used in conjunction with a Stealthwatch Flow Sensor.
Addr (Address) Scan/tcp 
Note:  Mitigation is not available for the alarm associated with this security event.
©2017CiscoSystems,Inc.AllRightsReserved.
3
SecurityEventList
What is the security event?
Questions about this event Response
What type of behavior is this  If the Stealthwatch System detects 
event looking for? activity that potentially indicates 
someone doing a network scan using 
TCP, the System records this as a 
scanning event. I f enough scanning 
events affect a large enough number of 
hosts, the SMC raises a security event.

Examples of "scanning events" include 
various combinations of bad TCP flags, 
or sending a SYN but not responding to 
the following SYN-ACK, as well as other 
indicators.
What does it mean when it  A host is attempting to discover which 
triggers? hosts are running particular services to 
potentially make use of.
What are next steps? Determine what the host was scanning. 
Start this investigation with a broad net 
and then narrow it down.
Begin by running a Top Ports (outbound) 
report. Set the time period to the day of 
the event and the client host to be the 
source IP of the event. Regardless of the 
target IP range that is listed, you can 
scan any type of host, s o determine if you 
want to search on Inside Hosts, Outside 
Hosts, or both. Then, in the Filter dialog, 
set the Server filter as appropriate on the 
Hosts tab and set the "Order the records 
returned by" to Flows on the Advanced 
tab.
Once the results come back, it may be 
helpful to sort by Peers. Regardless, 
start at the top of the list as sorted by 
Flows or Peers to find the standout ports 
that either don’t belong or appear 
abnormally high. Right-click an 
IP address to pivot to the flows to view 
©2017CiscoSystems,Inc.AllRightsReserved.
4