array_distinct

הפונקציה array_distinct מחזירה את כל הערכים הייחודיים בצורת רשימה. הסרת הכפילויות כדי ליצור רשימה ייחודית מתבצעת לפני החיתוך.

המספר המקסימלי של הרכיבים שמוחזרים תלוי במיקום שבו השאילתה מופעלת:

• חיפוש: הרשימה תקוצר ל-1,000 רכיבים אקראיים לכל היותר.
• מרכזי בקרה וכללים: הרשימה נחתכת למקסימום של 25 רכיבים אקראיים.

הערה: ערכי ברירת המחדל של שדות חסרים או לא מאותחלים במודל הנתונים המאוחד (UDM) הם אפס (למשל "", 0 או "UNKNOWN_ACTION") במקום NULL. מכיוון שהפונקציה array_distinct מתייחסת לערכי אפס כאל נתונים תקינים, היא כוללת אותם ברשימה שמוחזרת. לדוגמה, מערך של תוצאות שמכיל רק מחרוזת ריקה ([""]) מוצג כ-[Unknown] בציר הזמן של הזיהוי. כדי להסיר ערכי ברירת מחדל מהמערך, מוסיפים מסנן לקטע events של השאילתה. כשמסננים שדות חוזרים, משתמשים במילת המפתח any (לדוגמה, any $e.security_result.description != "") כדי לשמור את כל אינדקסים של המערכים במהלך הצבירה.

תחביר	סוגי נתונים של פרמטרים	סוג הערך שמוחזר
array_distinct(expression)	STRING	LIST

דוגמאות קוד

• החזרת סוגים שונים של אירועים

  הפונקציה מחזירה מערך שמכיל סוגים שונים של אירועים.

  $event_type = metadata.event_type
  outcome:
    $event_type_array = array_distinct($event_type)
  

• החרגת ערכי ברירת מחדל ממערכים נפרדים

  בדוגמה הבאה מסננים אירועים שחסר בהם תיאור של תוצאת האבטחה. הוא משתמש במילת המפתח any בשדה החוזר כדי לשמור את כל אינדקסים המערך במהלך צבירת התוצאות:

  events:
    $e.security_result[0].description != ""
    any $e.security_result.description = ""
  outcome:
    $security_result_description = array_distinct($e.security_result.description)