Использование оператора extend

  • 6 мин

Оператор расширения создаст вычисляемые столбцы и добавит новые столбцы в результирующий набор.

В приведенном ниже примере KQL используется оператор расширения для создания нового столбца StartDir, содержащего каталог, в котором был запущен процесс. Столбец StartDir — это вычисляемый столбец, содержащий результаты функции подстроки.


SecurityEvent
| where ProcessName != "" and Process != ""
| extend StartDir =  substring(ProcessName,0, string_size(ProcessName)-string_size(Process))