Wenn Sie Ihre Suche im Prüftool anpassen, können Sie eine oder mehrere Bedingungen angeben. Wenn Sie für eine Suche mindestens zwei Bedingungen festlegen, haben Sie auch die Möglichkeit, verschachtelte Abfragen mit zwei oder drei Bedingungsebenen zu erstellen.
Mit solchen verschachtelten Abfragen lassen sich Suchen eingrenzen, weil Sie sehr viel detaillierter und auf bestimmte Ereignistypen ausgerichtet sind. Klicken Sie dazu auf Bedingungsgruppe hinzufügen und richten Sie die Suche nach Ihren Wünschen ein.
Beispiel: Sie möchten nach eingehenden E-Mails in Ihrer Organisation suchen, um Nutzer zu ermitteln, die Anhänge erhalten. Außerdem soll die Suche auf Nutzer eingegrenzt werden, die diese Anhänge auch öffnen oder auf Links in den E-Mails klicken. Eine solche individuelle Suche basiert auf der Datenquelle Gmail-Protokollereignisse und Sie müssen die folgenden Bedingungen einrichten:
- Die E-Mail muss einen Anhang haben
- UND der Nutzer muss entweder den Anhang öffnen ODER auf einen Link in der E-Mail klicken.
Hinweis: Bei den meisten Datenquellen sind verschachtelte Abfragen mit drei Ebenen möglich. Von dieser Regel gibt es zwei Ausnahmen, die Datenquellen Nutzer und Chrome. Bei „Nutzer“ sind lediglich verschachtelte Abfragen mit zwei Ebenen zulässig und bei „Chrome“ sind verschachtelte Abfragen gar nicht möglich.
