window.last

Se admite en los siguientes sistemas operativos:

Reglas

window.last(values_to_sort_by, values_to_return)

Descripción

Esta función de agregación devuelve un valor de cadena derivado de un evento con el valor int correlacionado más alto en el período de correlación. Un ejemplo de caso de uso es obtener el ID de usuario del evento con la marca de tiempo más baja en el período de coincidencia (marca de tiempo más alta).

Tipos de datos de parámetros

INT, STRING

Tipo de datos que se devuelve

STRING

Muestras de código

Obtén un valor de cadena derivado de un evento con el valor int correlacionado más alto en el período de correlación.

rule test_windows_last {

// This rule sets the outcome $last_event to the highest correlated int value
// in the 5 minute match window.

  meta:

  events:
    $e.principal.user.userid = $userid

  match:
    $userid over 5m

  outcome:
    $last_event = window.last($e.metadata.event_timestamp.seconds, 
    $e.metadata.vendor_name)
    // yields v3 if the events in the match window are 1, 2 and 3 and 
    // corresponding values v1, v2, and v3.

  condition:
    $e
}