array_distinct

La fonction array_distinct renvoie toutes les valeurs distinctes sous forme de liste. La déduplication permettant de produire une liste distincte est appliquée avant la troncature.

Le nombre maximal d'éléments renvoyés dépend de l'endroit où la requête est exécutée :

• Rechercher : tronque la liste pour afficher un maximum de 1 000 éléments aléatoires.
• Tableaux de bord et règles : la liste est tronquée à 25 éléments aléatoires maximum.

Remarque : Les champs UDM (Unified Data Model) manquants ou non initialisés sont définis par défaut sur des valeurs nulles (telles que "", 0 ou "UNKNOWN_ACTION") au lieu de NULL. Étant donné que array_distinct considère les valeurs nulles comme des données valides, il les inclut dans la liste renvoyée. Par exemple, un tableau de résultats ne contenant que la chaîne vide ([""]) s'affiche sous la forme [Unknown] dans votre chronologie de détection. Pour supprimer les valeurs par défaut de votre tableau, ajoutez un filtre dans la section events de votre requête. Lorsque vous filtrez des champs répétés, utilisez le mot clé any (par exemple, any $e.security_result.description != "") pour conserver tous les index de tableau lors de l'agrégation.

Syntaxe	Types de données des paramètres	Type renvoyé
array_distinct(expression)	STRING	LIST

Exemples de code

• Renvoie les types d'événements distincts

  Renvoie un tableau contenant des types d'événements distincts.

  $event_type = metadata.event_type
  outcome:
    $event_type_array = array_distinct($event_type)
  

• Exclure les valeurs par défaut des tableaux distincts

  L'exemple suivant filtre les événements qui ne comportent pas de description du résultat de sécurité. Il utilise le mot clé "any" sur le champ répété pour conserver tous les index de tableau lors de l'agrégation des résultats :

  events:
    $e.security_result[0].description != ""
    any $e.security_result.description = ""
  outcome:
    $security_result_description = array_distinct($e.security_result.description)