Qradar Incident Forensics User Guide

Suspicious content

You can use search to look for any contextual element or identifier that you know

about the attacker or incident. If you use the keyword in the search, suspicious

content is returned. Some of the suspicious content might relevant to the

investigation.

Data pivoting

Data pivoting is achieved by making the content that is returned by a search result

appear as a hotlink. For example, if you search for "Tom", the results might include

emails that Tom wrote, Tom's chats, and more contextual information. When you

click an email to view, every asset or entity, such as attachments or computer IDs

that Tom used, appear as links. An investigator can use these links to investigate

quickly.