Qradar Incident Forensics User Guide

Document search and investigation

Investigators search for documents that are relevant to a lead or a hypothesis about

how a security incident took place.

14

QRadar Incident Forensics User Guide

---

Searches

Instead of manually sifting through masses of documents, most of which are not

related to the case, investigators use the forensic repository to extract documents

that satisfy characteristics of interest. For example, a document that occurred

within a certain time period, pertains to a topic of interest, or a document that is

sent or received by a suspected attacker.

Searches can be specific. For example, "find the exact character string “Mission

Alpha”" is specific. Alternatively, searches can be general. For example, "find all

social security numbers wherever they exist in the repository" is more general.

Searches can be simple and based only on one criterion. Complex search results

must satisfy multiple conditions. For example, finding all email between two

suspected attackers about a topic and exclude emails that contains attachments, is

a complex search. The purpose of a search is to quickly and accurately reduce the

records to a manageable working set. With a smaller set of documents for the

investigator to inspect, the documents have a higher likelihood to be relevant to

the case.