Qradar Incident Forensics User Guide

Search Criteria Input

filed for execution.

Investigators use the previous query list to find previously run queries and

re-execute them by selecting the query that they want to run and clicking Insert

Query

.

Query filter tool

The query filter tool uses the active data to provide visual cues for building

persistent filters.

The query filter is a persistent background filter that reduces the active document

set that is being interrogated by the query string. By using a filter, you reduce the

20

QRadar Incident Forensics User Guide

---

available document set without overloading the query string with static query

terms. As a result, you have more control over the query string.

The query filter is a good place to start an investigation because of the

case-dependent filter type lists, dynamic updating, and real-time result summary.

The filter type lists are populated with all the values that are found in the cases

that are available to you. You can quickly see what data is contained within the

cases that you own. Selecting or clearing filter type list items automatically updates

the result summary. You can quickly see the effectiveness of the filter and how

large of a document set remains when you use the filter.

Tuning the default query filter is not advised for queries that you want to reuse.

For queries that you want to keep, create a new query filter. If you modified the

default query filter, reset it when you are finished to prevent mistaken exclusion of

documents from future search queries.