array_distinct

La funzione array_distinct restituisce tutti i valori distinti sotto forma di elenco. La deduplicazione per produrre un elenco distinto viene applicata prima del troncamento.

Il numero massimo di elementi restituiti dipende da dove viene eseguita la query:

• Cerca: tronca l'elenco a un massimo di 1000 elementi casuali.
• Dashboard e regole: tronca l'elenco a un massimo di 25 elementi casuali.

Nota: i campi Unified Data Model (UDM) mancanti o non inizializzati vengono impostati per impostazione predefinita su valori pari a zero (ad esempio "", 0 o "UNKNOWN_ACTION") anziché NULL. Poiché array_distinct considera i valori zero come dati validi, li include nell'elenco restituito. Ad esempio, un array di risultati contenente solo la stringa vuota ([""]) viene visualizzato come [Unknown] nella sequenza temporale di rilevamento. Per rimuovere i valori predefiniti dall'array, aggiungi un filtro nella sezione events della query. Quando filtri i campi ripetuti, utilizza la parola chiave any (ad esempio any $e.security_result.description != "") per conservare tutti gli indici degli array durante l'aggregazione.

Sintassi	Tipi di dati dei parametri	Tipo restituito
array_distinct(expression)	STRING	LIST

Esempi di codice

• Restituisci tipi di eventi distinti

  Restituisce un array contenente tipi di eventi distinti.

  $event_type = metadata.event_type
  outcome:
    $event_type_array = array_distinct($event_type)
  

• Escludere i valori predefiniti dagli array distinti

  L'esempio seguente filtra gli eventi che non hanno una descrizione del risultato di sicurezza. Utilizza la parola chiave any nel campo ripetuto per conservare tutti gli indici dell'array durante l'aggregazione dei risultati:

  events:
    $e.security_result[0].description != ""
    any $e.security_result.description = ""
  outcome:
    $security_result_description = array_distinct($e.security_result.description)