Qradar Incident Forensics User Guide

Boolean

operator

Example query string

Example explanation

()

(ApplicationProtocol:http AND NOT

ServerTcpPort:(80 OR 8080)) OR

(ApplicationProtocol:pop* AND NOT

ServerTcpPort:110)

NOT (Collection:yahoo* OR

Collection:cnn* OR Collection:msn*)

These queries use parentheses

effectively to achieve complex goals.

Without parentheses, these queries are

longer and more complex to formulate

and debug.

Query builder tool

Use the query builder tool to create searches or manage saved searches.

The query builder tool graphically walks investigators through the process of

creating powerful searches that use categorized lists of query terms with examples.

Table 4. Parameters for the query builder tool

Parameter

Description

Select Category

Filters the list of metadata tags available in

the Select Field list.

Select Field

The metadata tags used to tag the

information in the forensics repository.