Qradar Incident Forensics User Guide

Investigation

Use the tools on the Forensics tab to help you investigate.

1.

Use free-form search to search for identifiers of entities that are involved.

2.

Examine suspect content that is flagged by the product.

3.

Use Digital Impression, visualizations, and content filtering to identify

relationships that might be suspicious.

4.

Use Surveyor to trace the activities of involved entities to get the content of the

interactions.

5.

Discover the motivations for the collusion by reviewing reconstructed

documents.

6.

Use free-form search and data-pivoting to find the beginning of the colluding

activities.

Sabotage

In this scenario, an organization is alerted that one or more stakeholders are

attempting to disrupt operations. The stakeholder might be being used as a proxy.

Objective

To solve the problem in these investigations, the organization has these objectives:

v

Identify the saboteur.

v

Understand the techniques that were employed by the saboteur.

v

Assess the impact and scope of the disruption.

v

Pinpoint vulnerabilities that were exploited by the saboteur

Chapter 2. Security investigations

7

---