window.last

Supportato in:

Regole

window.last(values_to_sort_by, values_to_return)

Descrizione

Questa funzione di aggregazione restituisce un valore stringa derivato da un evento con il valore int correlato più alto nella finestra di corrispondenza. Un esempio di caso d'uso è l'ottenimento dell'ID utente dall'evento con il timestamp più basso nella finestra di corrispondenza (timestamp più alto).

Tipi di dati dei parametri

INT, STRING

Tipo restituito

STRING

Esempi di codice

Ottieni un valore stringa derivato da un evento con il valore int più correlato nella finestra di corrispondenza.

rule test_windows_last {

// This rule sets the outcome $last_event to the highest correlated int value
// in the 5 minute match window.

  meta:

  events:
    $e.principal.user.userid = $userid

  match:
    $userid over 5m

  outcome:
    $last_event = window.last($e.metadata.event_timestamp.seconds, 
    $e.metadata.vendor_name)
    // yields v3 if the events in the match window are 1, 2 and 3 and 
    // corresponding values v1, v2, and v3.

  condition:
    $e
}