array_distinct

La función array_distinct devuelve todos los valores distintos en forma de lista. La anulación de duplicaciones para generar una lista distinta se aplica antes del truncamiento.

La cantidad máxima de elementos que se muestran depende de dónde se ejecute la búsqueda:

• Search: Trunca la lista a un máximo de 1,000 elementos aleatorios.
• Paneles y reglas: Trunca la lista a un máximo de 25 elementos aleatorios.

Nota: Los campos faltantes o no inicializados del modelo de datos unificados (UDM) se establecen de forma predeterminada en valores cero (como "", 0 o "UNKNOWN_ACTION") en lugar de NULL. Dado que array_distinct trata los valores cero como datos válidos, los incluye en la lista que se devuelve. Por ejemplo, un array de resultados que solo contiene la cadena vacía ([""]) se muestra como [Unknown] en tu cronograma de detección. Para quitar los valores predeterminados de tu array, agrega un filtro en la sección events de tu consulta. Cuando filtres campos repetidos, usa la palabra clave any (por ejemplo, any $e.security_result.description != "") para conservar todos los índices de array durante la agregación.

Sintaxis	Tipos de datos de parámetros	Tipo de datos que se muestra
array_distinct(expression)	STRING	LIST

Muestras de código

• Devuelve tipos de eventos distintos

  Devuelve un array que contiene tipos de eventos distintos.

  $event_type = metadata.event_type
  outcome:
    $event_type_array = array_distinct($event_type)
  

• Excluye los valores predeterminados de los arrays distintos

  En el siguiente ejemplo, se filtran los eventos que no tienen una descripción del resultado de seguridad. Utiliza la palabra clave any en el campo repetido para conservar todos los índices de array durante la agregación de resultados:

  events:
    $e.security_result[0].description != ""
    any $e.security_result.description = ""
  outcome:
    $security_result_description = array_distinct($e.security_result.description)