Qradar Incident Forensics User Guide

Free-form query terms

Investigators search for exact character string matches by entering the query terms

directly in the search criteria field on the Forensics tab. You can use single or

multiple word queries.

The following table describes the type of search queries that can be used.

Table 1. Types of free-form queries

Type of search query

Description

Example

Single word query

Searches for one term in the documents.

puppies

Single query with wildcard

Searches for a match for one or more

characters in the middle or end of a

query term.

Restriction:

Wildcard characters cannot

be used as the first character in a search.

te?t

test*

te*t

Multiple word query

Specifies that search results are returned

in query term relevancy order. The

documents that contain both query

terms are listed first, followed by

documents that contain only one of the

query terms. Documents containing only

one query term are ranked according to

the number of occurrences of the

individual query term.

free puppies

Multiple word query with

double quotation marks

Matches the exact string. Documents

that contain both words, but not in this

order and in this proximity are not

returned as results. Effectively, the

double quotation marks turn these two

words into a single string or query term.

To the search engine, they are not seen

as two separate words anymore.

"free puppies"

Multiple word query that

uses the AND operator

Specifies that both query terms must be

present in the document to result in a

match. The query terms can be in any

order and it is not necessary for them to

be in close proximity to each other.

free AND

puppies