날짜/시간 함수

PantherFlow 날짜/시간 함수

PantherFlow는 Panther 버전 1.110부터 오픈 베타 상태이며 모든 고객이 사용할 수 있습니다. 버그 리포트와 기능 요청은 Panther 지원팀에 공유해 주세요.

time.add()

time.add(timestamp: timestamp, value: int, unit: string) -> timestamp

Return 타임스탬프 결합하여 생성된 타임스팬에 추가됨 값 시간과 함께 단위와 같은, 예: "hour". 값 더 표현력 있는 타임스탬프 산술을 허용하는 컬럼일 수 있습니다. 뺄셈은 음수의 값을 제공하여 달성할 수 있습니다 값. 단위 다음일 수 있습니다:

• year, y

• month

• day, d

• hour, h

• minute, m

• second, s

더 많은 값이 허용될 수 있지만 향후 릴리스에서 지원이 보장되지는 않습니다.

예:

let timebins =
range N from 1 to 10 step 1
| project t1=time.add(time.now(), N, 'day')

time.ago()

time.ago(span: timespan) -> timestamp

다음만큼 이전인 타임스탬프를 반환합니다 span 전에.

예:

panther_logs.public.aws_alb
| where p_event_time > time.ago(1d)

time.diff()

time.diff(unit: string, timestamp1: timestamp, timestamp2: timestamp) -> int

요청된 날짜 또는 시간 단위를 기준으로 두 타임스탬프 간의 차이를 계산합니다. 이 함수는 timestamp2에서 timestamp1을 뺀 결과(즉 timestamp2 - timestamp1)를 반환합니다. 단위 다음일 수 있습니다:

• year, y

• month

• day, d

• hour, h

• minute, m

• second, s

더 많은 값이 허용될 수 있지만 향후 릴리스에서 지원이 보장되지는 않습니다.

예:

panther_logs.public.aws_alb
| extend hoursToParse=time.diff('h', p_event_time, p_parse_time)
| extend minutesToParse=time.diff('m', p_event_time, p_parse_time)
| project hoursToParse, minutesToParse

time.now()

time.now() -> timestamp

현재 타임스탬프를 반환합니다.

예:

panther_logs.public.aws_alb
| where p_event_time > time.now() - 1d

time.parse_timespan()

time.parse_timespan(str: string) -> timespan

기간 문자열의 타임스팬 표현을 반환합니다.

예:

panther_logs.public.aws_alb
| where p_event_time > time.now() - time.parse_timespan('24h')

time.parse_timestamp()

time.parse_timestamp(str: string) -> timestamp

타임스탬프 문자열의 타임스탬프 표현을 반환합니다.

예:

panther_logs.public.aws_alb
| where p_event_time > time.parse_timestamp('2023-01-01T00:00:00')

time.slice()

time.slice(time: timestamp, slice_length: int, slice_unit: string) -> timestamp

속하는 타임스탬프를 반환합니다 시간 주어진 slice_unit 와 slice_length청크 단위로. slice_length 예를 들어, 만약 slice_unit 가 1이고 slice_unit 다음일 수 있습니다:

• year, y

• month

• day, d

• hour, h

• minute, m

• second, s

더 많은 값이 허용될 수 있지만 향후 릴리스에서 지원이 보장되지는 않습니다.

예:

panther_logs.public.aws_alb
| where p_event_time > time.ago(1d)
가 "hour"이면, 해당 시간으로 시간이 절단됩니다. 슬라이스는 1970년 1월 1일 자정 기준으로 계산됩니다.
| summarize count=agg.count() by bucket=time.slice(p_event_time, 10, 'm')
| sort bucket asc

| visualize

time.trunc()

time.trunc(unit: string, timestamp: timestamp) -> timestamp 단위 다음일 수 있습니다:

• year, y

• month

• day, d

• hour, h

• minute, m

• second, s

더 많은 값이 허용될 수 있지만 향후 릴리스에서 지원이 보장되지는 않습니다.

예:

panther_logs.public.aws_alb
| where p_event_time > time.ago(1d)
지정된 단위로 잘린 타임스탬프를 반환합니다.
| extend minuteEventHappened=time.trunc('m', p_event_time)