Qradar Incident Forensics User Guide

31

---

Analyzing files for embedded content and malicious activity

To investigate files for hidden threats, you can look at file entropy values,

download embedded files and scripts for further analysis, and view the document

and its attributes.

Because intruders can obfuscate the contents of binary files within container files,

you can use file analysis in IBM Security QRadar Incident Forensics to examine

whether files contain embedded scripts or other binary content.

File entropy measures the randomness of the data in a file and is used to determine

whether a file contains hidden data or suspicious scripts. The scale of randomness

is from 0, not random, to 8, totally random, such as an encrypted file. The more a

unit can be compressed, the lower the entropy value; the less a unit can be

compressed, the higher the entropy value.

In the following diagram, entropy is used as an indicator of the variability of bits

per byte. Because each character in a data unit consists of 1 byte, the entropy value

indicates the variation of the characters and the compressibility of the data unit.

Variations in the entropy values in the file might indicate that suspect content is

hidden in files. For example, the high entropy values might be an indication that

the data is stored encrypted and compressed and the lower values might indicate

that at runtime the payload is decrypted and stored in different sections.