Incident

 Classification  /  Incident  Taxonomy    

according  to  eCSIRT.net  –  adapted  
 
International  Version  
 Don  Stikvoort,  11  Jan  –  19  Dec  2012  
(version  mkVI  of  31  March  2015)  
Many  thanks  to  various  reviewers,  most  notably  so    
Andrew  Cormack,  Xander  Jansen,  Alf  Moens  and  Peter  Peters      
 
What  is  in  italics  has  been  added  or  adapted  from  the  old  eCSIRT.net  Incident  Classification  (de  facto)  standard,  which  was  
based  on  earlier  work  by  Jimmy  Arvidsson.  Note  that  only  the  following  changes  have  occurred  to  the  base  categories:  
-­‐ ‘information  security’  !  ‘information  content  security’  :  because  the  term  ‘information  security’  is  too  generic  and  wide  
ranging  
-­‐ added  ‘vulnerable’  
-­‐ added  ‘test’  
 
Also,  the  2nd  column  used  to  be  a  sub-­‐classification  in  the  original  model.  However  this  will  only  give  rise  to  much  confusion  if  
this  were  to  be  used  inbetween  organisations.  Therefore  it  is  strongly  advised  to  stick  to  the  main  categories,  and  only  use  the  
2nd  column  as  examples,  for  clarification.  Of  course,  for  internal  purposes  one  could  use  these  subcategories  in  a  ticketing  
system  –  but  the  question  is  still  then  :  is  that  worth  the  extra  analysis  effort.  
 
Last  but  not  least  –  bear  in  mind  that  this  is  not  an  exclusive  taxonomy.  Incidents  can  well  involve  more  classifications.  How  to  
handle  this  is  not  a  function  of  this  document,  but  rather  of  how  a  CSIRT  organises  their  incident  tracking  system.  The  choice  
usually  is  –  is  it  allowed  that  an  incident  has  more  than  1  classification?  This  is  theoretically  the  best  approach,  though  it  can  
muddle  up  incident  statistics  and  needs  to  be  carefully  considered.  Or  is  only  1  classification  allowed?  And  then  a  judgment  call  
is  needed  what  is  the  most  significant  of  the  classifications  for  that  specific  incident.    
   
  
   

 
 
Incident  
Incident  Examples   Description  /  Explanation  
Classification  
 
 

or  "Unsolicited  Bulk  Email",  this  means  that  the  recipient  has  not  granted  verifiable  
Spam   permission  for  the  message  to  be  sent  and  that  the  message  is  sent  as  part  of  a  larger  
collection  of  messages,  all  having  a  functionally  comparable  content.  
Abusive  Content   Discreditation  or  discrimination  of  somebody  (e.g.  cyber  stalking,  racism  and  threats  against  
Harmful  Speech  1  
one  or  more  individuals)  
Child/Sexual/  
Child  Pornography,  glorification  of  violence,  ...  
Violence/...  
Virus  
Worm  
Trojan   Software  that  is  intentionally  included  or  inserted  in  a  system  for  a  harmful  purpose.  A  user  
Malicious  Code  2  
Spyware   interaction  is  normally  necessary  to  activate  the  code.  
Dialer  
Rootkit  
Attacks  that  send  requests  to  a  system  to  discover  weak  points.  This  includes  also  some  kind  
Scanning   of  testing  processes  to  gather  information  about  hosts,  services  and  accounts.  Examples:  
Information   fingerd,  DNS  querying,  ICMP,  SMTP  (EXPN,  RCPT,  …),  port  scanning.  
Gathering   Sniffing   Observing  and  recording  of  network  traffic  (wiretapping).  
Gathering  information  from  a  human  being  in  a  non-­‐technical  way  (e.g.  lies,  tricks,  bribes,  or  
Social  Engineering  
threats).  
                                                                                                               
1  Was  “harassment”  –  legally  the  term  “harmful  speech”  is  more  correct,  as  it  includes  harassment,  discrimination  and  defamation  
2  “Malicious  code”  refers  to  malicious  software  inserted  into  a  system.  The  vector  that  caused  the  insertion  is  not  apparent  here.  The  vector  

can  be  an  “intrusion”  from  the  outside,  but  also  a  USB  stick,  or  other  internal  vector.  
    
An  attempt  to  compromise  a  system  or  to  disrupt  any  service  by  exploiting  vulnerabilities  
Exploiting  of  known  
with  a  standardised  identifier  such  as  CVE  name  (e.g.  buffer  overflow,  backdoor,  cross  site  
Intrusion   Vulnerabilities  
scripting,  etc.).  
Attempts  3  
Login  attempts   Multiple  login  attempts  (Guessing  /  cracking  of  passwords,  brute  force).  
New  attack  signature   An  attempt  using  an  unknown  exploit.  
Privileged  Account  
Compromise  
Unprivileged  
A  successful  compromise  of  a  system  or  application  (service).  This  can  have  been  caused  
Account  
Intrusions    
4 remotely  by  a  known  or  new  vulnerability,  but  also  by  an  unauthorized  local  access.  Also  
Compromise  
includes  being  part  of  a  botnet.  
Application  
Compromise  
Bot  
DoS   By  this  kind  of  an  attack  a  system  is  bombarded  with  so  many  packets  that  the  operations  are  
DDoS   delayed  or  the  system  crashes.  DoS  examples  are  ICMP  and  SYN  floods,  Teardrop  attacks  and  
Sabotage   mail-­‐bombing.  DDoS  often  is  based  on  DoS  attacks  originating  from  botnets,  but  also  other  
scenarios  exist  like  DNS  Amplification  attacks.    
Availability  
However,  the  availability  also  can  be  affected  by  local  actions  (destruction,  disruption  of  
Outage  (no  malice)   power  supply,  etc.)  –  or  by  Act  of  God,  spontaneous  failures  or  human  error,  without  malice  or  
gross  neglect  being  involved.  
 
Unauthorised  access  
Besides  a  local  abuse  of  data  and  systems  the  information  security  can  be  endangered  by  a  
to  information  
Information   successful  account  or  application  compromise.  Furthermore  attacks  are  possible  that  
Unauthorised  
Content  Security   intercept  and  access  information  during  transmission  (wiretapping,  spoofing  or  hijacking).  
modification  of  
Human/configuration/software  error  can  also  be  the  cause.  
information  

                                                                                                               
3  An  “attempt”  refers  to  the  mechanism  used  to  try  and  create  an  intrusion.  The  intrusion  may  have  failed  –  or  not.  
4  An  “intrusion”  will  as  rule  of  thumb  be  the  result  of  a  successful  intrusion  attempt.  
  
Unauthorized  use  of   Using  resources  for  unauthorized  purposes  including  profit-­‐making  ventures  (E.g.  the  use  of  
resources   e-­‐mail  to  participate  in  illegal  profit  chain  letters  or  pyramid  schemes).  
Offering  or  Installing  copies  of  unlicensed  commercial  software  or  other  copyright  protected  
Copyright  
Fraud   materials  (Warez).  
Type  of  attacks  in  which  one  entity  illegitimately  assumes  the  identity  of  another  in  order  to  
Masquerade  
benefit  from  it.  
Phishing   Masquerading  as  another  entity  in  order  to  persuade  the  user  to  reveal  a  private  credential.  
Open  resolvers,  world  readable  printers,  vulnerability  apparent  from  Nessus  etc  scans,  virus  
Vulnerable   Open  for  abuse  
signatures  not  up-­‐to-­‐date,  etc  
All  incidents  which  
don't  fit  in  one  of  the  
If  the  number  of  incidents  in  this  category  increases,  it  is  an  indicator  that  the  classification  
Other   given  categories  
scheme  must  be  revised.  
should  be  put  into  
this  class.  
Test   Meant  for  testing   Meant  for  testing  
 
©  S-­‐CURE  bv,  PRESECURE  GmbH  and  SURFnet  bv  :  this  document  can  be  freely  used  and  re-­‐used,  providing  that  eCSIRT.net,  Jimmy  
Arvidsson  and  Don  Stikvoort  are  acknowledged,  and  that  any  potential  improvements/changes  to  this  document  are  shared  with  the  
author  at  don@elsinore.nl  for  the  sake  of  future  improved  versions  of  this  document.