Qradar Incident Forensics User Guide

Parameter

Description

IP Address

Use command to separate multiple IP addresses. If no IP addresses or

ports are entered, the default TCP or UDP is used.

Port

Use commas to separate multiple ports.

Case

The case name must be unique.

Collection

Recovered data is grouped into a collection and associated to the case.

The collection name must be unique. If the collection name exists in

the case, the original collection is deleted.

Tags

Optional. Used to quickly retrieve exact result sets from relevant

documents. Use a comma to separate multiple tags. Use alphanumeric

characters only; special characters are not allowed.

Enable Custom

BPF (Berkeley

Packet Filter)

Available to administrator users. Selecting the checkbox activates a

BPF input field where you specify an IP address and port.

Enable Custom

Capture Devices

Available to administrator users. Selecting the checkbox generates the

list of PCAP devices on your deployment. Select one or more devices

to see traffic only from those devices.

b.

Click OK, and then click the Forensics tab.

Troubleshoot:

If you see a message that you do not have permission to

recover data, ensure that your security profile has access to the IP address.

In some instances, if you used a # character in the Tags field, you might see

the message.

© Copyright IBM Corp. 2014, 2017

35

---

c.

Click the incidents icon 

 

to view your incidents. Expand or collapse

content when navigating through a hierarchy.

d.

To view the documents in the incident, click Jump to search page results.

e.

To visualize a sequence of events for the incident, click Jump to surveyor