ネストされたクエリで検索をカスタマイズする

セキュリティ調査ツール
この機能に対応しているエディション: Frontline Standard、Frontline Plus、Enterprise Standard、Enterprise Plus、Education Standard、Education Plus、Enterprise Essentials Plus、Cloud Identity Premium。エディションを比較する

調査ツールで検索をカスタマイズする際に、1 つ以上の条件を指定して検索できます。条件を 2 つ以上指定して検索する場合には、ネストされたクエリ（2 ～ 3 階層の条件が含まれている検索）を作成するというオプションもあります。

ネストされたクエリを使用すると、特定のタイプのイベントを対象とする、より詳細なクエリを指定して検索を絞り込むことができます。ネストされたクエリを作成するには、検索条件の設定中に （「条件グループを追加」アイコン）をクリックします。

たとえば、組織内の受信メールに関する検索を行い、添付ファイルを受信しているユーザーを調査するとします。さらに、それらの添付ファイルを開いたユーザーまたはメール内のリンクをクリックしたユーザーのみに検索を絞り込むとします。このような場合は、検索をカスタマイズする際に、[Gmail のログのイベント] データソースに基づいた検索に次の条件を設定します。

  • メールに添付ファイルがある。
  • かつ、ユーザーが添付ファイルを開くか、またはメール内のリンクをクリックするかのいずれかの操作を行った。

注: ほとんどのデータソースでは、3 階層のネストされたクエリが有効になっています。ただし、[ユーザー] データソースでは 2 階層のネストされたクエリのみが有効になっており、[Chrome ブラウザ] データソースではネストされたクエリが有効になっていません。