집계 함수

PantherFlow 집계 함수

PantherFlow는 Panther 버전 1.110부터 오픈 베타를 시작했으며 모든 고객이 사용할 수 있습니다. 버그 보고나 기능 요청이 있으면 Panther 지원팀에 공유해 주세요.

개요

집계 함수 사용 추가 예제 보기 summarize 연산자.

agg.avg()

agg.avg(column: any) -> float

집계의 값들의 평균을 반환합니다.

예시:

panther_logs.public.aws_alb
| summarize agg.avg(receivedBytes) by ip_address

agg.count()

agg.count([column: any]) -> int

집계에 있는 값들의 개수를 반환합니다.

예시:

panther_logs.public.aws_alb
| summarize agg.count() by ip_address

agg.count_distinct()

agg.count_distinct(column: any) -> int

집계에서 고유한 값들의 수를 반환합니다.

예시:

panther_logs.public.aws_alb
| summarize agg.count_distinct(targetStatusCode) by ip_address

agg.make_set()

agg.make_set(column: any) -> any

열에서 고유한 값들의 집합을 반환합니다.

예시:

panther_logs.public.aws_alb
| summarize agg.make_set(targetStatusCode) by ip_address

agg.max()

agg.max(column: any) -> float

집계에서 최대값을 반환합니다.

예시:

panther_logs.public.aws_alb
| summarize agg.max(receivedBytes) by ip_address

agg.min()

agg.min(column: any) -> float

집계에서 최소값을 반환합니다.

예시:

panther_logs.public.aws_alb
| summarize agg.min(receivedBytes) by ip_address

agg.percentile_cont()

agg.percentile_cont(column: [any], percentile: number) -> float

주어진 퍼센타일 0.0과 1.0 사이의 값에 대해, 연속 분포에 기반한 입력값을 반환합니다. column 행의 연속 분포를 기준으로 합니다. 원하는 퍼센타일에 정확히 일치하는 입력 행이 없으면, 결과는 가장 가까운 두 입력 값의 선형 보간법으로 계산됩니다. 그룹에 값이 하나만 포함되어 있으면, 지정된 어떤 퍼센타일에 대해서도 그 값이 반환됩니다(예: 퍼센타일 0.0과 1.0 모두 그 하나의 행을 반환합니다).

예시:

datatable [
{"bytes": 0, "group": "a"},
{"bytes": 500, "group": "a"},
{"bytes": 1000, "group": "a"},
{"bytes": 0, "group": "b"},
{"bytes": 5, "group": "b"},
{"bytes": 10, "group": "b"}
]
| summarize p50=agg.percentile_cont(bytes, 0.50),
p75=agg.percentile_cont(bytes, 0.75),
p99=agg.percentile_cont(bytes, 0.99) by group

agg.stddev()

agg.stddev(column: [number]) -> float

널이 아닌 값들의 표본 표준편차(표본 분산의 제곱근)를 반환합니다.

예시:

panther_logs.public.aws_alb
| summarize agg.stddev(receivedBytes) by ip_address

agg.sum()

agg.sum(column: [any]) -> float

집계의 값들의 합을 반환합니다.

예시:

panther_logs.public.aws_alb
| summarize agg.sum(receivedBytes) by ip_address

agg.take_any()

agg.take_any(column: [any]) -> any

집계에서 임의의 값을 반환합니다.

예시:

panther_logs.public.aws_alb
| summarize agg.take_any(targetGroupArn) by ip_address