Cisco Cisco IPS 4255 Sensor Libro bianco

 
 
 

 

All contents are Copyright © 1992–2005 Cisco Systems, Inc. All rights reserved. Important Notices and Privacy Statement. 

Page 1 of 2 

 
 
 

In contrast to simplistic alert rating models that are commonly used in the industry, Cisco IPS Version 5.0 Sensor Software delivers unique Risk 

Ratings that are assigned to alerts generated from IPS (Intrusion Prevention Systems) sensors. The intent of this risk rating is to provide the user 

with an indication of the relative risk of the traffic or offending host continuing to access the user’s network. This rating can be used either to 

illuminate the events that require immediate administrator attention in the classic intrusion detection system (IDS) promiscuous mode, or to provide 

a means for developing risk-oriented event action policies when the sensor is employed in the inline intrusion protection system (IPS) mode. 

The risk rating is realized as an integer value in the range from 0 to 100. The higher the value, the greater the security risk of the trigger event for 

the associated alert. The risk rating is a calculated number that has four primary components—Alert Severity Rating (ASR), Signature Fidelity 

Rating (SFR), Attack Relevancy Rating (ARR), and Target Value Rating (TVR). 

The Risk Rating is calculated using the following formula: 

 

Signature Fidelity Rating (SFR) = Relative measure of the accuracy of the signature (predefined); 0–100 Set by Cisco Systems, Inc. 

Alert Severity Rating (ASR) = Relative result or damage if the attack succeeds (predefined); 25—Information, 50—Low, 75—Medium, 100—

High 

Target Value Rating (TVR) = Value used to change the risk rating higher or lower based on the target of the attack (user defined); 

75—Low Asset Value , 100—Medium Asset value , 150—High Asset Value, 200—Mission Critical Asset Value 

 

The ASR is a user-modifiable weighted value that characterizes the damage potential of the suspect traffic. It is presented to the user in familiar, 

descriptive text tags—informational, low, medium, and high. 

•

 

An informational alert is based on commonly seen network traffic and has no particular security relevance when seen on most networks. It may 

be a violation of a policy on some networks, but it generally poses no immediate threat to network security. 

•

 

A low alert is also based on relatively benign network traffic, but is somewhat unusual on most networks. Also categorized as low would be 

overt scans, such as those commonly seen by network management devices. Although this type of scan could be a precursor to an attack, it is 
uncommon for an overt scan to be used for this purpose. 

•

 

A medium alert is based on traffic that generally should not be seen on the network. It is usually assigned to midlevel reconnaissance traffic, 

denial of service (DoS) attacks on self-healing services, and remote access of unexpected information or programs. This type of behavior warrants 
investigation or preventive actions, sometimes requiring policy decisions from the user. 

•

 

A high alert is based on traffic that is indicative of an active attack or an obvious precursor to an attack. This traffic should never be seen in a 

normal network. This rating is reserved for attacks that could result in serious compromise of the target, or for specific network traffic that is only 
seen in covert reconnaissance traffic. 

 

The SFR is a user-modifiable weighted value that characterizes the fidelity of the signature that has detected the suspect activity. Several factors 

affect the fidelity of a signature. First, many vulnerabilities are only relevant for a particular OS, service, application, or even patch level. Without