使用嵌套查询自定义搜索

安全调查工具

通过安全调查工具来自定义搜索时，您可以添加一种或多种搜索条件。如果您要自定义的搜索包含至少 2 个条件，还可以选择创建嵌套查询，即包含二级或三级条件的搜索。

使用嵌套查询，您可以指定更精细且针对特定类型事件的查询，从而缩小搜索范围。为此，请在自定义搜索时点击 添加条件组。

例如，您可能想搜索组织中的入站电子邮件，以调查哪些用户收到了附件。此外，您可能还想缩小搜索范围，仅纳入打开这些附件或点击电子邮件中链接的用户。自定义搜索时，您需要以 Gmail 日志事件数据源为基础，并为搜索设置以下条件：

  • 电子邮件必须包含附件。
  • 并且用户必须打开附件或点击电子邮件中的链接。

注意：大多数数据源支持 3 级嵌套查询。“用户”数据源最多仅支持二级嵌套查询，而“Chrome 浏览器”数据源不支持嵌套查询。