Qradar Incident Forensics User Guide

Insider analysis investigations

Use QRadar Incident Forensics to detect collusion, sabotage, and misuse of access.

Identify the perpetrator, identify collaborators, identify compromised systems, and

document data losses.

Misuse of access

In this scenario, an organization is alerted that one or more of their employees are

misusing credentials or are used as a proxy to access sensitive systems and data

for unauthorized activities.

Objective

To solve the problem in these investigations, the organization has these objectives:

v

Determine the user's identity.

v

Resolve who or what is employing the identity for unauthorized activities.

v

Understand the objective of the misuse of access.

v

Assess whether the entity has more identities that might also be misused.