När du anpassar sökningen i utredningsverktyget kan du inkludera ett eller flera villkor i sökningen. Om du anpassar en sökning som har minst två villkor kan du även skapa kapslade frågor, det vill säga sökningar med villkor på två eller tre nivåer.
Med kapslade sökfrågor kan du begränsa sökningen genom att ange frågor som är mycket mer detaljerade och inriktade på specifika typer av händelser. Det gör du genom att klicka på Lägg till villkorsgrupp när du anpassar sökningen.
Du kanske till exempel vill söka efter inkommande e-postmeddelanden i organisationen för att undersöka användare som tar emot bilagor. Dessutom vill du kanske begränsa sökningen genom att bara inkludera användare som öppnar bilagorna eller klickar på länkar i e-postmeddelandena. När du anpassar sökningen baseras sökningen på datakällan för Gmail-logghändelser och anger följande villkor för sökningen:
- E-postmeddelandet måste ha en bilaga.
- OCH användaren måste antingen öppna bilagan ELLER klicka på en länk i e-postmeddelandet.
Obs! De flesta datakällor aktiverar kapslade frågor på tre nivåer. Datakällan Användare aktiverar endast kapslade frågor på två nivåer, medan datakällan för webbläsaren Chrome inte aktiverar kapslade frågor.
