Qradar Incident Forensics User Guide

Procedure

1.

On the Forensics tab, select one or more recovered files from the Grid view.

2.

From the investigative tools menu at the top of the grid, click File Analysis.

In the results, each row of the grid contains an analysis data for a document,

for example, the file name, description, whether suspect content is detected,

and entropy values.

3.

To sort files by a specific attribute, such as entropy, click the associated column

heading.

4.

From the list of files, right-click a file for further investigation

v

To review the document and its attributes, click Display Document.

v

To review an entropy graph and check whether an embedded file or script

might contain malware, click Display Entropy.

You can use entropy values as an indication of whether the file might contain

malicious content. For example, ASCII text files are typically highly

compressible and have low entropy values. Encrypted data is typically not

compressible, and usually has a high entropy value. Malware is often packed

and hidden in both files and images.

v

To download embedded files, click Extract Embedded Files and select the

files to download.

This option is available only for documents with embedded files or scripts.

Files are downloaded to the download location of your web browser. Be

careful not to open potentially harmful scripts in an unprotected

environment.