Qradar Incident Forensics User Guide

QRadar Incident Forensics searches and bookmarks

Investigators use IBM Security QRadar Incident Forensics to extract relevant data

from network traffic and documents.

Searching and bookmarking records

To enable intuitive forensics activity QRadar Incident Forensics retrieves packet

data and ingests other content. This technology provides search-driven data

exploration, session reconstruction, and forensics intelligence to help security

incident investigations.

Investigators focus their investigation through course-grained actions and then

proceed to fine-tune those findings into a relevant final result set. A simple,

high-level approach is to search and bookmark many records at first. Then, focus

on the bookmarked records to identify a final set of records. Determine which

material is relevant and tweak queries to include and or exclude items. Use that

material to prove a hypothesis.

As you develop new leads, you can follow up on them by using other methods.

You can use visualization and analysis tools to manually and automatically assess

the results for relevance. You can also use varied queries to get a different aspect of

the same issue.