Qradar Incident Forensics User Guide

Processing bookmarked results

When you find results that are significant to your investigation, you can bookmark

the results for deeper inspection and final determination. Bookmark more than you

think you need. If in question, bookmark it. You want to eliminate the irrelevant

material and focus on what you think is relevant.

After you bookmark a set of results that you think are relevant, you can fine-tune

your inspection.

1.

Inspect each bookmarked document through the visualization and analysis

tools.

2.

Attach case notes to the documents and make final decisions on each document

about its relevance to the case.

3.

If a record is not relevant, remove the bookmark.

In the investigation process, you identified the relevant material in the

repository and you now have a set of relevant bookmarked records.

4.

Print, export or process the relevant records.