Qradar Incident Forensics User Guide

page results

.

f.

To remove or cancel a particular incident, click Delete or cancel this

incident

.

g.

To re-run the previous forensics recovery job, click Re-run this forensics

recovery

. For example, if the results return incomplete data, you re-run a

forensics recovery to include different IP addresses, or to change the time

frame specified in the previous run recovery job.

2.

To search existing cases in QRadar, right-click an IP address and click Run

Forensics Search

.

a.

On the Forensics tab, click the incidents icon.

b.

To investigate an aggregate of the activities that are associated with an

incident, highlight a case by hovering your mouse over it, and then click

the search icon.

c.

To investigate activities by QRadar Incident Forensics host and capture

device in distributed deployments, expand the Case entry and then expand

the Collection entry.

d.

To view a chronological list of interactions in an incident, highlight the

collection by hovering your mouse over it, and then click the Surveyor icon.