Qradar Incident Forensics User Guide

Getting relationship information

A digital impression report shows the interactions between a centering identifier and

all other identifiers. A centering identifier is the online identifier that is source of

interest in a security incident.

The top-most identifier in many categories is usually the identity of the centering

identifier in that identifier type or category. For example, if the identifier is a MAC

address, the email address that has the most interactions likely belongs to the

suspected attacker who owns the computer. However, if IP addresses are assigned

dynamically, you must also investigate the IP addresses that are assigned over a

time range.

The correlations between other categories and the centering identifier are typically

less strong. Before you decide to act based on the digital impression, validate the

data with independent sources. Use the Digital Impression tool to expand the

radius of an investigation to more suspected attackers and entities.