Qradar Incident Forensics User Guide

Patient zero: Identify the source of an attack

In this scenario, an organization is alerted to a suspected breach. It seeks to find

the initial point of an attack to isolate the source. The organization must

quarantine the compromised entities to prevent the spread of the attack to other

parts of the organization.

Objectives

To solve the problem in these investigations, the organization has these objectives:

v

Determine the type of attack.

v

Identify the initial entry point of the threat.

v

Get details about the malicious payload.

v

Understand how the malicious payload was disseminated beyond the point of

entry.