WHERE-Operator

Syntax

T | where Prädikat

Argumente

• T: Die Tabelleneingabe, deren Datensätze gefiltert werden sollen
• Prädikat: Ein boolean Ausdruck über die Spalten von T. Sie wird für jede Zeile in Tausgewertet.

Retouren

Zeilen in T , für die Prädikat trueist.

Hinweise Nullwerte: Alle Filterfunktionen geben beim Vergleich mit Nullwerten ' false' zurück. Sie können spezielle Nullwertfunktionen verwenden, um Abfragen zu schreiben, die Nullwerte verarbeiten.

isnull (), isnotnull (), isempty (), isnotempty ().

Beispiel: Einfache Vergleiche zuerst

In diesem Beispiel werden Ereignisse abgerufen, die nicht älter als 5 Minuten sind, und der Name ist nicht null und entspricht nicht 'Swizzor Botnet Traffic'.

Beachten Sie, dass hier der Alias limit anstelle von take verwendet wird.

events
    | project name, original_time=unixtime_milliseconds_todatetime(original_time)
    | where original_time > ago(5m)
    | where name != 'Swizzor Botnet Traffic' and isnotnull(name)
    | limit 5