window.last

Compatível com:

Regras

window.last(values_to_sort_by, values_to_return)

Descrição

Essa função de agregação retorna um valor de string derivado de um evento com o maior valor inteiro correlacionado na janela de correspondência. Um exemplo de caso de uso é receber o user_id do evento com o menor carimbo de data/hora na janela de correspondência (maior carimbo de data/hora).

Tipos de dados de parâmetros

INT, STRING

Tipo de retorno

STRING

Amostras de código

Recebe um valor de string derivado de um evento com o maior valor inteiro correlacionado na janela de correspondência.

rule test_windows_last {

// This rule sets the outcome $last_event to the highest correlated int value
// in the 5 minute match window.

  meta:

  events:
    $e.principal.user.userid = $userid

  match:
    $userid over 5m

  outcome:
    $last_event = window.last($e.metadata.event_timestamp.seconds, 
    $e.metadata.vendor_name)
    // yields v3 if the events in the match window are 1, 2 and 3 and 
    // corresponding values v1, v2, and v3.

  condition:
    $e
}