Lorsque vous personnalisez votre recherche dans l'outil d'investigation de sécurité, vous pouvez y inclure une ou plusieurs conditions. Si vous personnalisez une recherche comportant au moins deux conditions, vous avez également la possibilité de créer des requêtes imbriquées, c'est-à-dire des recherches incluant deux ou trois niveaux de conditions.
Les requêtes imbriquées vous permettent d'affiner votre recherche en spécifiant des requêtes beaucoup plus précises et ciblant des types d'événements spécifiques. Pour ce faire, cliquez sur 
Ajouter un groupe de conditions lors de la personnalisation de votre recherche.
Par exemple, vous pouvez effectuer une recherche sur les e-mails entrants dans votre organisation pour examiner les utilisateurs qui reçoivent des pièces jointes. Vous pouvez également affiner votre recherche en n'incluant que les utilisateurs qui ouvrent ces pièces jointes ou qui cliquent sur les liens contenus dans les e-mails. Lorsque vous personnalisez votre recherche, vous devez la baser sur la source de données Événements de journaux Gmail et configurer les conditions suivantes :
- L'e-mail doit contenir une pièce jointe.
- ET l'utilisateur doit ouvrir la pièce jointe OU cliquer sur un lien dans l'e-mail.
Remarque : La plupart des sources de données permettent d'imbriquer des requêtes sur trois niveaux. La source de données Utilisateurs n'accepte que les requêtes imbriquées à deux niveaux, tandis que la source de données Navigateurs Chrome ne permet pas les requêtes imbriquées.