summarize 연산자

개요

다음을 사용해 결과를 집계 summarize.

| summarize [[<dest>=]aggregation[, ...]] by [<dest>=]<expression>[, ...] 

다음을 포함한 여러 집계를 지원합니다:

• agg.avg()

• agg.count()

• agg.count_distinct()

• agg.make_set()

• agg.max()

• agg.min()

• agg.percentile_cont()

• agg.stddev()

• agg.sum()

• agg.take_any()

사용 가능한 집계의 전체 목록은 다음에서 확인하세요 집계 함수.

예시

개수

다음 쿼리는 필드에 저장된 지난 하루 동안의 모든 이벤트 수를 표시합니다 num_connections:

panther_logs.public.aws_alb
| where p_event_time > time.ago(1d)
| summarize num_connections=agg.count()

num_connections
993

단일 필드별 개수 그룹화

다음 쿼리는 각 항목에 대한 연결 수를 계산합니다 clientIp 그리고 연결 수가 가장 많은 순서대로 결과를 정렬합니다:

panther_logs.public.aws_alb
| where p_event_time > time.ago(1d)
| summarize num_connections=agg.count() by clientIp
| sort num_connections

clientIp	num_connections
192.167.7.55	979
10.145.4.26	130
10.99.231.15	31
...

여러 필드별 개수 그룹화

다음 쿼리는 num_connections 다음 두 항목 모두로 그룹화된 clientIp 및 clientPort 필드:

panther_logs.public.aws_alb
| where p_event_time > time.ago(1d)
| summarize num_connections=agg.count() by clientIp, clientPort
| sort num_connections

clientIp	clientPort	num_connections
192.167.7.55	50160	7
10.145.4.26	63335	5
10.145.4.26	60845	4
192.167.7.55	52138	4
10.99.231.15	58704	3
…

임의의 표현식별 개수 그룹화

panther_logs.public.aws_alb
| where p_event_time > time.ago(1d)
| summarize num_connections=agg.count() by isOK = elbStatusCode == 200
| sort num_connections

isOK	num_connections
true	1114
false	324

고유 개수

아래 쿼리는 다음의 고유한 개수를 저장합니다 clientIp의 num_distinct_clients:

panther_logs.public.aws_alb
| where p_event_time > time.ago(1d)
| summarize num_distinct_clients=agg.count_distinct(clientIp)

num_distinct_clients
121

나중에 집계를 참조하기

이후 쿼리 식에서 집계를 참조할 수 있습니다:

panther_logs.public.aws_alb
| where p_event_time > time.ago(1d)
| summarize num_connections=agg.count() by clientIp, clientPort
| where num_connections >= 5

clientIp	clientPort	num_connections
192.167.7.55	50160	7
10.145.4.26	63335	5
...

필드별 요약(집계 없이)

아래 쿼리는 각 고유한 userAgent:

panther_logs.public.aws_alb
| where p_event_time > time.ago(1d)
| summarize by userAgent

userAgent
Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/31.0.1650.63 Safari/537.36
curl/8.1.2
Mozilla/5.0 (Linux; Android 7.0; LG-H918 Build/NRD90M) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/56.0.2924.87 Mobile Safari/537.36
…