Qradar Incident Forensics User Guide

Results

You can see your case in one of the tools on the Forensics tab.

Forensics repository queries

Investigators specify the characteristics of the documents they are interested in

retrieving from the forensics database. Multiple queries are used to find a set of

documents for an investigation.

Multiple queries and manual inspection of a small set of documents is superior to

sifting through the entire repository. Ideas for subsequent queries and refined

queries are often hatched during the inspection of an irrelevant document.

Increased quantity and specificity of query terms result in higher relevance results

sets. Your goal is to define as much as is known about the results that you want

and to be highly specific when possible. Any number of query terms can be

entered into the search criteria. You separate terms with a space or with a Boolean

operator. Terms that are separated only with a space imply a Boolean logical OR

operator. An OR operator means that finding any of the terms is equally desirable.

Results that satisfy the most search terms are placed at the top of the list to

indicate the strength of the match to the query terms.

A single search criterion is also referred to as a query term. Searches typically

involve more than one query term. The set of query terms for a single search is

Chapter 3. Getting started with forensics investigations

17

---

also referred to as a Query String. Becoming adept at formulating queries takes

practice, but it is not hard. It involves only a few query terms and learning how to

create and negate the terms in combinations that give you what you want. Since

query strings are saved in QRadar Incident Forensics, you can continuously

fine-tune your searches as you learn the data better.

Related tasks

:

“Visualizing relations and associations” on page 28

Use the Visualize window to look at relations among attributes in recovered

documents. For example, you can inspect the email addresses that communicated

with a specific email address.