Qradar Incident Forensics User Guide

Metadata tags

Common entities are tagged to allow investigators to quickly retrieve exact result

sets from relevant documents.

18

QRadar Incident Forensics User Guide

---

Many metadata fields might be used in the Incident Forensic index, depending on

the type of session, document, or protocol.

When you specify a metadata tag name, it must be exact and exist in the forensic

repository.

The following table lists types of metadata tag searches.

Table 2. Metadata tag searches

Type of metadata tag

search

Format

Example

Standard

MetadataTag:

ApplicationProtocol:http

Wildcard

MetadataTag:*

CreditCardNumber:*

Range

MetadataTag:[

TO

Duration:[30 TO 56]

Related concepts

:

“Document annotations” on page 22

Investigators bookmark documents and add notes to documents to track ideas and

rationale about documents in their case.

Boolean combinations

Multiple query terms can be strung together by using simple Boolean operators to

create highly targeted query strings. Properly formed, these query strings can

return results that exactly match what an investigator is looking for.

The basic Boolean operators are AND, OR, NOT, and (). The AND operator

specifies that both query terms must match in the document. The OR operator

specifies that either query term can be found in a document. The NOT operator

negates, or removes results, that match the query terms that are negated. The ()

operator groups query terms and values to apply functions to a set, apply multiple

values to a single function, or for clarity of syntax.

Boolean operators must be uppercase.

The following table lists the Boolean operators and an example of a query string.

Table 3. Boolean operators for query strings