Qradar Incident Forensics User Guide

Related concepts

:

“Reconstructed document view” on page 24

The View tab shows a reconstructed view of the document that is selected on the

left side of the screen in the List view.

Custom BPF

To see only certain types of traffic when you run a forensics recovery, you can

choose to create a custom Berkeley Packet Filter (BPF).

On the Forensics Recovery, selecting the checkbox activates a BPF input field

where you specify a BPF filter that filters network traffic.

Use BPF syntax to specify BPF filters. An expression consists of one or more

primitives. Primitives are references to one or more fields in a network protocol

header. For example, host, port, tcp port are all primitives. You can build complex

filter expressions by using AND, OR, and NOT operators.

These are examples of filters:

host 10.0.0.1

port 80

tcp port 80 and host 10.0.0.1

host 10.0.0.1 or host 10.0.0.2 or port 80 or port 443

To create a custom BPF, you must have access to the Admin user role. All

non-admin users have read-only access of the BPF text field. Admin users can

enter any BPF expression.

Restriction:

Forensics recovery will apply the BPF input provided. If the results of

your recovery are not what you expect, check your recovery input and BPF to

ensure that the criteria is correct.

36

QRadar Incident Forensics User Guide

---

Even when not used by the custom BPF, the BPF field always contains the contents

of the IP Address or Port fields. If no IP addresses or ports are entered, the custom

BPF uses the default TCP or UDP.

Chapter 5. Investigating network traffic for an IP address