compare

Use o comando compare para comparar as propriedades geradas pelo comando link nos intervalos de comparação especificados.

Sintaxe

compare [fields=<field> [,<field>]*] [timeshift = <offset> [size = <size>][count=<int>] | timerange <datetime> to <datetime> [as <new_field_name>], ...]

Parâmetros

A tabela a seguir lista os parâmetros usados nesse comando, com suas descrições.

Parâmetro Descrição

offset

<direction><int><timescale> OR auto

Define a faixa de tempo de comparação como deslocamento da faixa de tempo atual.

  • auto: Timeshift é igual ao tamanho da janela do intervalo de tempo atual na direção negativa.
  • direction sintaxe: + | -
  • timescale sintaxe: <sec> | <min> | <hour> | <day> | <week> | <mon>
  • sec sintaxe: s | sec | secs | second | seconds
  • min sintaxe: m | min | mins | minute | minutes
  • hour sintaxe: h | hr | hrs | hour | hours
  • week sintaxe: w | week | weeks
  • month sintaxe: mon | month | months
size <int><timescale>

Define a duração da faixa de tempo de comparação.

  • timescale sintaxe: <sec> | <min> | <hour> | <day> | <week> | <mon>
  • sec sintaxe: s | sec | secs | second | seconds
  • min sintaxe: m | min | mins | minute | minutes
  • hour sintaxe: h | hr | hrs | hour | hours
  • week sintaxe: w | week | weeks
  • month sintaxe: mon | month | months
count <int>

Especifica o número de intervalos de tempo para comparação. Se não for especificado, o valor padrão será 1.

datetime

Define explicitamente o início e o fim de uma faixa de tempo de comparação.

Para obter um exemplo de uso desse comando em cenários típicos, consulte:

O seguinte comando compara o tamanho médio do conteúdo de uma entidade de 7 e 14 dias atrás:

* | link Entity 
| stats avg('Content Size') as 'Average Content Size' 
| compare fields = 'Average Content Size' timeshift = -7d count = 2

O seguinte comando compara o tamanho médio do conteúdo de uma entidade de outro período:

* | link Entity 
| stats avg('Content Size') as 'Average Content Size' 
| compare fields = 'Average Content Size' 
        timerange = '2018-06-07T00:00:00Z' to '2018-06-14T00:00:00Z' as T1

O comando a seguir compara 2 intervalos de tempo que têm o mesmo tamanho de janela que o intervalo de tempo atual, na direção negativa. Por exemplo, se o intervalo de tempo atual for Últimos 60 minutos, os intervalos timeshift serão últimos 60 a 120 minutos e últimos 120 a 180 minutos:

* | link span = 5minute 'Log Source'
 | compare timeshift = auto count = 2