azure - KQL 查询中的多个日期

Question

我正在尝试使用 KQL 创建哨兵查询，该查询只会搜索特定日期(例如银行假日)的信息。我已经看到这可以在其他查​​询语言上完成，但是到目前为止我创建的最好的方法是连续多个日期，例如

let startdate = (datetime(23/09/2022));
let enddate = (datetime(26/09/2022));

where timegenerated between (startdate .. enddate)

但是，这不允许多个不同的日期槽。我在下面尝试创建一个日期数组，但是“!contains”对于 time generated 字段无效。有谁知道这个问题的解决办法吗？

let HolidayDates = datatable(HDates: string)

[

'24/12/2022',

'25/12/2022',

//first holiday

'01/01/2023',

'02/01/2023',

'03/01/2023',

//New years

'07/04/2023',

'08/04/2023',

'09/04/2023',

'10/04/2023'

//easter holiday

];



| where TimeGenerated !contain (HolidayDates)

Answer 1

你可以这样做:

let HolidayDateTimes = datatable(HDates: datetime )
[
datetime(2022-12-24),
datetime(2022-09-27),
datetime(2022-12-25)];
traces | where startofday(timestamp) in (HolidayDateTimes)

不要使用 contains(字符串运算符)，而是使用 in 操作来检查某个项目是否在集合中。然后我使用 startofday 去除时间信息。