array_distinct

array_distinct 함수는 모든 고유 값을 목록 형식으로 반환합니다. 고유 목록을 생성하기 위한 중복 삭제는 자르기 전에 적용됩니다.

반환되는 최대 요소 수는 쿼리가 실행되는 위치에 따라 다릅니다.

• 검색: 목록을 최대 1,000개의 임의 요소로 자릅니다.
• 대시보드 및 규칙: 목록을 최대 25개의 임의 요소로 자릅니다.

참고: 누락되거나 초기화되지 않은 통합 데이터 모델 (UDM) 필드는 NULL 대신 0 값 (예: "", 0 또는 "UNKNOWN_ACTION")으로 기본 설정됩니다. array_distinct는 0 값을 유효한 데이터로 취급하므로 반환된 목록에 포함합니다. 예를 들어 빈 문자열([""])만 포함된 결과 배열은 감지 타임라인에 [Unknown]로 표시됩니다. 배열에서 기본값을 삭제하려면 쿼리의 events 섹션에 필터를 추가합니다. 반복 필드를 필터링할 때는 any 키워드 (예: any $e.security_result.description != "")를 사용하여 집계 중에 모든 배열 색인을 유지합니다.

구문	매개변수 데이터 유형	반환 유형
array_distinct(expression)	STRING	LIST

코드 샘플

• 고유한 이벤트 유형 반환

  고유한 이벤트 유형을 포함하는 배열을 반환합니다.

  $event_type = metadata.event_type
  outcome:
    $event_type_array = array_distinct($event_type)
  

• 고유 배열에서 기본값 제외

  다음 예시는 보안 결과 설명이 없는 이벤트를 필터링합니다. 결과 집계 중에 모든 배열 색인을 유지하기 위해 반복 필드에서 any 키워드를 사용합니다.

  events:
    $e.security_result[0].description != ""
    any $e.security_result.description = ""
  outcome:
    $security_result_description = array_distinct($e.security_result.description)