범위 연산자

개요

증가하는 행 시퀀스를 생성하려면 range.

range <dest> from <start> to <end> step <size>

다음을 사용할 수 있습니다 range 증가하는 행 집합이 있는 테이블을 생성하는데, 이는 데이터 시퀀스를 만들 때 유용할 수 있습니다.

시퀀스의 첫 번째 값은 <start>이며, 다음 행들은 <size> 을(를) 이전 행에 더해 생성됩니다. 시퀀스의 최종 값은 <end>보다 작거나 같은 마지막 값입니다 — 다시 말해 시퀀스는 <end>. <dest> 가 결과 시퀀스가 할당되는 필드의 이름입니다. 값은 <start>, <end>및 <step> 은(는) 정수여야 합니다.

range 는 다음 중 하나입니다 가능한 PantherFlow 데이터 소스이며, 테이블 소스로만 사용할 수 있습니다.

경보 심각도

시퀀스 생성

0부터 5(포함)까지의 시퀀스를 생성합니다.

range N from 0 to 5 step 1

N
0
1
2
3
4
5

더 큰 스텝으로 시퀀스 생성

시퀀스는 <end>.

보다 작거나 같은 마지막 숫자에서 멈춥니다

range data from 1 to 4 step 2

data
1
3

출력:

range 타임스탬프 시퀀스 생성

다음을 사용하여 시간 시퀀스를 만들 수 있습니다.
range data from 0 to 2 step 1

| project t = time.add(time.now(), data, 'h')
2025-03-13 15:41:46.368000
2025-03-13 16:41:46.368000
2025-03-13 17:41:46.368000

t

range 시계열 분석을 위한 시간 버킷 생성

다른 연산자와 결합하여 시계열 분석을 수행할 수 있습니다. 아래 예시는 Panther 감사 로그를 시간별 버킷으로 매핑합니다: 
let all_times = range N from 0 to 23 step 1 
| project bucket=time.add(time.now(), -1*N, "h")

| project bucket=time.trunc('hour', bucket); 
| where p_event_time > time.ago(1d)
let all_actors = panther_logs.public.panther_audit

| summarize by actor=actor.name;
let zeroes = all_times
| join kind=cross actors=(all_actors)

| project bucket, actor=actors.actor, eventcount=0; 
| where p_event_time > time.ago(1d)
panther_logs.public.panther_audit
| extend bucket=time.trunc('hour', p_event_time)
| summarize eventcount=agg.count() by bucket, actor=actor.name
| union zeroes
| summarize eventcount=agg.sum(eventcount) by bucket, actor
| sort bucket asc, actor asc