Qradar Incident Forensics User Guide

15

---

Forensic cases

Cases are logical containers for your collection of imported document and packet

capture files.

Cases are either created by administrators or investigators that have privileges to

create cases. Administrators create and assign cases to investigators. Investigators

might create a new case when they retrieve packet capture data from an IP address

in IBM Security QRadar.

Related tasks

:

“Uploading pcap files and documents from external systems to forensics cases”

You can upload external data into specific cases.

Collections

Use collections to group related data from a specific source, such as a packet

capture (pcap) data file, PDF, or network stream.

Collections are used to identify and manage groups of related data. You can

quickly delete the group data in the collection when your investigation is

complete.

Collections are either created by administrators or investigators. Administrators

create collections to manually load data to IBM Security QRadar Incident Forensics.

Administrators also add collections to cases. Investigators might create a new

collection when they initiate the retrieval of packet capture data from an IP address

in IBM Security QRadar.

Consider the following rules for collections and collection names:

v

Collection names must be unique.

v

Cases include one or more collections.

v

Collections can be added to multiple cases.

v

Search results return duplicate data when an investigator owns two cases with

the same collection.

v

If a collection name is not unique when a new pcap is uploaded, the original

collection is deleted before the new pcap is uploaded.