När du anpassar sökningen i verktyget för säkerhetsutredningar kan du inkludera ett eller flera villkor i sökningen. Om du anpassar en sökning som har minst två villkor kan du även skapa kapslade frågor, det vill säga sökningar som innehåller två eller tre villkorsnivåer.
Med kapslade sökfrågor kan du begränsa sökningen genom att ange sökfrågor som är mycket mer detaljerade och som är inriktade på specifika typer av händelser. Det gör du genom att klicka på 
Lägg till villkorsgrupp när du anpassar sökningen.
Du kanske till exempel vill köra en sökning efter inkommande e-postmeddelanden i organisationen för att undersöka användare som får bilagor. Du kan även begränsa sökningen genom att bara inkludera användare som öppnar dessa bilagor eller klickar på länkar i e-postmeddelandena. När du anpassar sökningen baserar du den på datakällan Gmail-logghändelser och konfigurerar följande villkor för sökningen:
- E-postmeddelandet måste ha en bilaga.
- OCH användaren måste antingen öppna bilagan ELLER klicka på en länk i e-postmeddelandet.
Obs! De flesta datakällor tillåter kapslade sökfrågor på tre nivåer. Datakällan Användare har endast stöd för kapslade frågor på två nivåer, medan datakällan för webbläsaren Chrome inte aktiverar kapslade frågor.