rare

Utilice el comando rare para mostrar los resultados de n de los valores menos frecuentes de todos los campos de la lista de campos. Opcionalmente, puede agrupar por campos adicionales.

Sintaxis

rare [<rare_options>] <field_name> [, <field_name>, ...] [as <new_field_name>] [by <field_name> [, <field_name>]*]

Parámetros

En la siguiente tabla se muestran los parámetros utilizados en este comando, junto con sus descripciones.

Parámetro Descripción

field_name

Especifique el campo cuyos valores raros se deben determinar.

rare_options

Sintaxis:

[limit = <limit>] [showcount = [true|false]] [showpercent = [true|false]]

limit: especifique el número de resultados que se devolverán. El valor por defecto es 10, si no se especifica. Si el valor es -1, se devolverán todas las filas.

showcount: especifique si el recuento de frecuencias se debe devolver en los resultados. El valor por defecto es false, si no se especifica.

showpercent: especifique si el porcentaje de frecuencia se debe devolver en los resultados. El valor por defecto es false, si no se especifica.

Las siguientes consultas devuelven 10 entidades con valores de gravedad de la frecuencia más baja:

Con el comando link:

* | link Entity
    | stats latest(Severity) as Severity
    | rare Severity

Sin el comando link:

* | stats latest(Severity) as Severity by Entity 
    | rare Severity