Qradar Incident Forensics User Guide

Procedure

1.

On the Forensics tab, from the Grid view, select one or more documents that

contain image in the description.

2.

From the investigative tools menu at the top of the grid, click Image Analysis.

In the results, thumbnail versions of all the images that are contained within

the documents are displayed in order of relevance. The number in parentheses

next to the image indicates the number of instances of the image in the

document. If you place the cursor over a thumbnail image, the image becomes

larger.

3.

Right-click an image for further investigation

v

To review the image and its attributes, click Display Document.

v

To review an entropy graph and check whether the image might contain

malware, click Display Entropy.

You can use entropy values as an indication of whether the file might contain

malicious content. For example, bitmap image files and ASCII text files are

typically highly compressible and have low entropy values. Encrypted data

is typically not compressible, and usually has a high entropy value. Malware

is often packed and hidden in both files and images.