NQL time_elapsed()

time_elapsed() 関数はイベントからの経過時間を計算します。 関数は値を秒単位で返します。

この関数は datetime データ型 のフィールドと共に使用します。例えば:

• devices テーブルの last_seen フィールド
• device_performance.boots テーブルの time

クエリで指定した期間は、time_elapsed() 関数により返される値を制限しません。 例えば、次のクエリは過去1日にアクティブだったデバイスのみを取得しますが、time_elapsed()により返される値はそれ以上の期間に及ぶ可能性があります。

‘where’句との使用

where 句で time_elapsed() 関数を使用します。

例:

最後のOSアップデートから15日以上経過しているデバイスのリストを取得します。

devices
| where operating_system.last_update.time_elapsed() > 15d

‘list’句との使用

list 句で time_elapsed() 関数を使用します。

例:

デバイスとその最終起動からの経過時間を一覧表示します。

devices
| include device_performance.boots
| where type == fast_startup
| compute last_fast_startup_time = time.last()
| list name, last_fast_startup_time.time_elapsed()

名前	最速起動時間 → 経過時間
device-10d267d2	1週 0日 1時間 8分 22秒 0ミリ秒
device-d1d5abc9	17時間 38分 22秒 0ミリ秒
device-5117c4c3	3週 1日 10時間 33分 8秒 0ミリ秒
device-16834449	57分 18秒 0ミリ秒
…	…

‘compute’句との使用

compute 句で time_elapsed() 関数を使用します。

例:

デバイスとその最終起動からの経過時間を一覧表示します。 関数の連鎖を適用する(同じフィールドに複数の関数を呼び出す)。

devices
| include device_performance.boots
| where type == fast_startup
| compute time_since_last_fast_startup = time.last().time_elapsed()