window.last

Compatible avec :

Règles

window.last(values_to_sort_by, values_to_return)

Description

Cette fonction d'agrégation renvoie une valeur de chaîne dérivée d'un événement avec la valeur int corrélée la plus élevée dans la fenêtre de correspondance. Un exemple de cas d'utilisation consiste à obtenir l'ID utilisateur à partir de l'événement avec le code temporel le plus bas dans la fenêtre de correspondance (code temporel le plus élevé).

Types de données des paramètres

INT, STRING

Type renvoyé

STRING

Exemples de code

Obtenez une valeur de chaîne dérivée d'un événement avec la valeur int la plus corrélée dans la fenêtre de correspondance.

rule test_windows_last {

// This rule sets the outcome $last_event to the highest correlated int value
// in the 5 minute match window.

  meta:

  events:
    $e.principal.user.userid = $userid

  match:
    $userid over 5m

  outcome:
    $last_event = window.last($e.metadata.event_timestamp.seconds, 
    $e.metadata.vendor_name)
    // yields v3 if the events in the match window are 1, 2 and 3 and 
    // corresponding values v1, v2, and v3.

  condition:
    $e
}