compare
Use o comando compare
para comparar as propriedades geradas pelo comando link
nos intervalos de comparação especificados.
Sintaxe
compare [fields=<field> [,<field>]*] [timeshift = <offset> [size = <size>][count=<int>] | timerange <datetime> to <datetime> [as <new_field_name>], ...]
Parâmetros
A tabela a seguir lista os parâmetros usados nesse comando, com suas descrições.
Parâmetro | Descrição |
---|---|
|
<direction><int><timescale> OR auto Define a faixa de tempo de comparação como deslocamento da faixa de tempo atual.
|
size |
<int><timescale> Define a duração da faixa de tempo de comparação.
|
count |
<int> Especifica o número de intervalos de tempo para comparação. Se não for especificado, o valor padrão será 1. |
|
Define explicitamente o início e o fim de uma faixa de tempo de comparação. |
Para obter um exemplo de uso desse comando em cenários típicos, consulte:
O seguinte comando compara o tamanho médio do conteúdo de uma entidade de 7 e 14 dias atrás:
* | link Entity
| stats avg('Content Size') as 'Average Content Size'
| compare fields = 'Average Content Size' timeshift = -7d count = 2
O seguinte comando compara o tamanho médio do conteúdo de uma entidade de outro período:
* | link Entity
| stats avg('Content Size') as 'Average Content Size'
| compare fields = 'Average Content Size'
timerange = '2018-06-07T00:00:00Z' to '2018-06-14T00:00:00Z' as T1
O comando a seguir compara 2 intervalos de tempo que têm o mesmo tamanho de janela que o intervalo de tempo atual, na direção negativa. Por exemplo, se o intervalo de tempo atual for Últimos 60 minutos, os intervalos timeshift
serão últimos 60 a 120 minutos e últimos 120 a 180 minutos:
* | link span = 5minute 'Log Source'
| compare timeshift = auto count = 2