Qradar Incident Forensics User Guide

Reconstructed document view

The View tab shows a reconstructed view of the document that is selected on the

left side of the screen in the List view.

This powerful combination of sequencing on the left and reconstruction on the

right makes it possible to see what suspected attackers saw and did on the

network. In addition to the visible documents that traversed the network, Surveyor

also shows the behind-the-scenes computer-to-computer handshakes and certificate

exchanges that took place.

Related tasks

:

24

QRadar Incident Forensics User Guide

---

Chapter 5, “Investigating network traffic for an IP address,” on page 35

To get visibility of the relevant content in the conversations that occurred during a

security incident, you can recover and reconstruct network traffic that is associated

with an IP address. You can also search through existing cases that are related to

an IP address.