Personalizar pesquisas com consultas aninhadas

Ao personalizar a pesquisa na ferramenta de investigação de segurança, você pode incluir uma ou mais condições. Se você estiver personalizando uma pesquisa que tenha pelo menos duas condições, também poderá criar consultas aninhadas, ou seja, pesquisas que incluam dois ou três níveis de condições.

Com as consultas aninhadas, é possível restringir a pesquisa especificando consultas muito mais granulares e direcionadas a tipos específicos de eventos. Para isso, clique em Adicionar grupo de condições ao personalizar sua pesquisa.

Por exemplo, você pode pesquisar os e-mails recebidos na sua organização para investigar os usuários que estão recebendo anexos. Além disso, talvez você queira restringir a pesquisa para incluir apenas os usuários que estão abrindo esses anexos ou clicando em links nos e-mails. Ao personalizar a pesquisa, você deve usar a fonte de dados Eventos de registro do Gmail e configurar estas condições:

• O e-mail precisa ter um anexo.
• E o usuário precisa abrir o anexo OU clicar em um link no e-mail.

Observação:a maioria das fontes de dados ativa consultas aninhadas em três níveis. A fonte de dados Usuários aceita apenas consultas aninhadas em dois níveis, e a fonte de dados Navegadores Chrome não aceita consultas aninhadas.