Cuando personalizas tu búsqueda en la herramienta de investigación de seguridad, puedes incluir una o más condiciones. Si personalizas una búsqueda que tiene al menos 2 condiciones, también tienes la opción de crear consultas anidadas, es decir, búsquedas que incluyen 2 o 3 niveles de condiciones.
El uso de consultas anidadas te permite acotar la búsqueda especificando consultas mucho más detalladas y segmentadas para tipos específicos de eventos. Para ello, haz clic en 
Agregar grupo de condiciones mientras personalizas tu búsqueda.
Por ejemplo, es posible que desees realizar una búsqueda sobre los correos electrónicos entrantes en tu organización para investigar a los usuarios que reciben archivos adjuntos. Además, es posible que desees acotar tu búsqueda para incluir solo a los usuarios que abren esos archivos adjuntos o hacen clic en los vínculos dentro de los correos electrónicos. Cuando personalices tu búsqueda, la basarás en la fuente de datos de eventos de registro de Gmail y configurarás las siguientes condiciones:
- El correo electrónico debe tener un archivo adjunto.
- ADEMÁS, el usuario debe abrir el archivo adjunto O hacer clic en un vínculo del correo electrónico.
Nota: La mayoría de las fuentes de datos permiten consultas anidadas de 3 niveles. La fuente de datos Usuarios solo admite consultas anidadas de 2 niveles, mientras que la fuente de datos Navegadores Chrome no habilita las consultas anidadas.