使用嵌套查询自定义搜索

通过安全调查工具来自定义搜索时，您可以添加一种或多种搜索条件。如果您要自定义包含至少 2 个条件的搜索，还可以选择创建嵌套查询，即包含二级或三级条件的搜索。

通过使用嵌套查询，您可以指定更精细且针对特定类型事件的查询，从而缩小搜索范围。为此，请在自定义搜索时点击 添加条件组。

例如，您可能希望在组织中搜索入站电子邮件，以调查哪些用户收到了附件。此外，您可能希望缩小搜索范围，仅包含打开这些附件或点击电子邮件中链接的用户。自定义搜索时，您需要将搜索基于 Gmail 日志事件数据源，并为搜索设置以下条件：

• 电子邮件必须包含附件。
• 并且用户必须打开附件或点击电子邮件中的链接。

注意：大多数数据源都支持 3 级嵌套查询。“用户”数据源最多仅支持二级嵌套查询，而“Chrome 浏览器”数据源不支持嵌套查询。