array_distinct

A função array_distinct retorna todos os valores distintos em forma de lista. A eliminação de duplicação para produzir uma lista distinta é aplicada antes do truncamento.

O número máximo de elementos retornados depende de onde a consulta é executada:

• Pesquisa: trunca a lista para um máximo de 1.000 elementos aleatórios.
• Painéis e regras: trunca a lista para um máximo de 25 elementos aleatórios.

Observação: os campos ausentes ou não inicializados do modelo de dados unificado (UDM) usam valores zero (como "", 0 ou "UNKNOWN_ACTION") em vez de NULL. Como o array_distinct trata os valores zero como dados válidos, ele os inclui na lista retornada. Por exemplo, uma matriz de resultados que contém apenas a string vazia ([""]) aparece como [Unknown] na linha do tempo de detecção. Para remover os valores padrão da matriz, adicione um filtro à seção events da consulta. Ao filtrar campos repetidos, use a palavra-chave any (por exemplo, any $e.security_result.description != "") para preservar todos os índices de matriz durante a agregação.

Sintaxe	Tipos de dados de parâmetros	Tipo de retorno
array_distinct(expression)	STRING	LIST

Exemplos de código

• Retornar tipos de evento distintos

  Retorna uma matriz que contém tipos de eventos distintos.

  $event_type = metadata.event_type
  outcome:
    $event_type_array = array_distinct($event_type)
  

• Excluir valores padrão de matrizes distintas

  O exemplo a seguir filtra eventos que não têm uma descrição de resultado de segurança. Ele usa a palavra-chave "any" no campo repetido para preservar todos os índices de matriz durante a agregação de resultados:

  events:
    $e.security_result[0].description != ""
    any $e.security_result.description = ""
  outcome:
    $security_result_description = array_distinct($e.security_result.description)