array_distinct

Die Funktion array_distinct gibt alle eindeutigen Werte in Form einer Liste zurück. Die Deduplizierung zur Erstellung einer Liste mit eindeutigen Werten erfolgt vor dem Kürzen.

Die maximale Anzahl der zurückgegebenen Elemente hängt davon ab, wo die Abfrage ausgeführt wird:

• Suchen: Die Liste wird auf maximal 1.000 zufällige Elemente gekürzt.
• Dashboards und Regeln: Die Liste wird auf maximal 25 zufällige Elemente gekürzt.

Hinweis :Für fehlende oder nicht initialisierte Felder des einheitlichen Datenmodells (Unified Data Model, UDM) werden standardmäßig Nullwerte (z. B. "", 0 oder "UNKNOWN_ACTION") anstelle von NULL verwendet. Da array_distinct Nullwerte als gültige Daten behandelt, werden sie in die zurückgegebene Liste aufgenommen. Ein Ergebnis-Array, das nur den leeren String ([""]) enthält, wird in der Zeitachse für die Erkennung beispielsweise als [Unknown] angezeigt. Wenn Sie Standardwerte aus Ihrem Array entfernen möchten, fügen Sie im Abschnitt events Ihrer Abfrage einen Filter hinzu. Verwenden Sie beim Filtern von wiederholten Feldern das Keyword any (z. B. any $e.security_result.description != ""), um alle Array-Indexe während der Aggregation beizubehalten.

Syntax	Parameterdatentypen	Rückgabetyp
array_distinct(expression)	STRING	LIST

Codebeispiele

• Unterschiedliche Ereignistypen zurückgeben

  Gibt ein Array mit unterschiedlichen Ereignistypen zurück.

  $event_type = metadata.event_type
  outcome:
    $event_type_array = array_distinct($event_type)
  

• Standardwerte aus eindeutigen Arrays ausschließen

  Im folgenden Beispiel werden Ereignisse herausgefiltert, für die keine Beschreibung des Sicherheitsergebnisses vorhanden ist. Dabei wird das Keyword „any“ für das wiederholte Feld verwendet, um alle Array-Indizes während der Ergebnisaggregation beizubehalten:

  events:
    $e.security_result[0].description != ""
    any $e.security_result.description = ""
  outcome:
    $security_result_description = array_distinct($e.security_result.description)