Qradar Incident Forensics User Guide

Exporting documents as pcap files

You can export documents as pcap files from multiple IBM Security QRadar

Incident Forensics and IBM Security QRadar Packet Capture appliances.

Restriction:

The content that you export to pcap format is not reconstructed.

Procedure

1.

To export data from selected documents, in the recovery grid on the Forensics

tab, select the check boxes next to the documents, and then click Export.

You can select a maximum of 25 documents to export to pcap format.

2.

From the Select Export Type list, click PCAP.

3.

After all of the documents for a QRadar Incident Forensics host are exported,

you can click Download.

4.

If the export of a document fails, export the document again by clicking the