union 연산자

개요

다음을 사용하여 여러 테이블을 쿼리 union.

union <table1> [, ...]

또는

| union <table1> [, ...]

사용 union 한 번에 여러 테이블을 쿼리하거나 기존 쿼리에 데이터를 삽입하는 데 사용합니다. 테이블 이름에는 와일드카드 문자를 포함할 수 있습니다 * 같은 데이터베이스나 접미사를 가진 테이블처럼 이름이 비슷한 테이블을 간결하게 쿼리하는 데 사용합니다. union ~ 중 하나입니다 가능한 PantherFlow 데이터 소스.

모든 로그를 검색하는 데 union을 사용하는 방법에 대해 자세히 알아보세요 PantherFlow 모범 사례.

예시

예제 데이터

let aws_alb = datatable [
  {"type": "https", "p_event_time": "2023-09-16 05:45:34.863", "clientIp": "192.168.11.34"},
  {"type": "https", "p_event_time": "2023-09-16 05:59:04.058", "clientIp": "192.168.1.1"},
  {"type": "https", "p_event_time": "2023-09-16 05:36:09.017", "clientIp": "10.168.22.7"}
];

let aws_cloudtrail = datatable [
  {"aws_region": "us-east-2", "p_event_time": "2023-09-16 05:23:30.812", "eventName": "AssumeRole"}
];

여러 소스 테이블을 쿼리

union aws_alb, aws_cloudtrail

이벤트
{ "p_event_time": "2023-09-16 05:45:34.863", "clientIp": "192.168.11.34", "type": "https" }
{ "p_event_time": "2023-09-16 05:59:04.058", "clientIp": "192.168.1.1", "type": "https" }
{ "p_event_time": "2023-09-16 05:36:09.017", "clientIp": "10.168.22.7", "type": "https" }
{ "p_event_time": "2023-09-16 05:23:30.812", "aws_region": "us-east-2", "eventName": "AssumeRole" }

기존 쿼리에 테이블을 삽입

aws_alb
// 필요에 따라, 여기에는 다른 문장을 넣을 수 있습니다
| union aws_cloudtrail

이벤트
{ "p_event_time": "2023-09-16 05:45:34.863", "clientIp": "192.168.11.34", "type": "https" }
{ "p_event_time": "2023-09-16 05:59:04.058", "clientIp": "192.168.1.1", "type": "https" }
{ "p_event_time": "2023-09-16 05:36:09.017", "clientIp": "10.168.22.7", "type": "https" }
{ "p_event_time": "2023-09-16 05:23:30.812", "aws_region": "us-east-2", "eventName": "AssumeRole" }

와일드카드 문자를 사용하여 여러 테이블을 쿼리

union panther_logs*

이 문은 이름이 다음 접두사로 시작하는 모든 테이블을 쿼리합니다 panther_logs.