Qradar Incident Forensics User Guide

27

---

Visualizing relations and associations

Use the Visualize window to look at relations among attributes in recovered

documents. For example, you can inspect the email addresses that communicated

with a specific email address.

Procedure

1.

In the recovery grid, click the check boxes for the documents that you want to

investigate and click Visualize.

2.

Select the layout, number of documents to display, and the relations among

attributes that you want to see and click refresh.

3.

Use the zoom controls to see more or less detail of the image.

4.

To perform a new search or modify the active filter, right-click a node.

From the context-sensitive menu, you can bring that piece of metadata back to

perform a new search. You can also modify the active filter to either include or

exclude the metadata.

Restriction:

You can view up to 9999 documents at a time in one Visualize

window.