Qradar Incident Forensics User Guide

Investigation

Use the tools on the Forensics tab to help you investigate.

1.

Use free-form search to search for identities who are accessing sensitive systems

or data.

2.

Resolve which of those access attempts are suspicious by looking at suspect

content, doing free-form searches, data pivoting, and content filtering.

6

QRadar Incident Forensics User Guide

---

3.

View the data reconstruction for the content that is being accessed.

4.

Retrace any patterns of access and evaluate frequency in Surveyor.

5.

Use Digital Impression to reveal aliases that used by a single entity.

Collusion

In this scenario, an organization is alerted that one or more stakeholders are

colluding among themselves or with external parties to engage in activities that are

detrimental to the organization.

Objective

To solve the problem in these investigations, the organization has these objectives:

v

Determine the colluding entities.

v

Understand the nature and patterns of interactions among the collaborators.

v

Uncover the content that underlies the scheme.

v

Reveal the duration of the scheme to understand risk scope.