使用 extend 运算符

• 6 分钟

extend 运算符将创建计算列并将新列追加到结果集中。

下面的 KQL 示例使用 extend 运算符创建一个新列 StartDir，其中包含启动进程的目录。 StartDir 列是包含 substring 函数结果的计算列。

SecurityEvent
| where ProcessName != "" and Process != ""
| extend StartDir =  substring(ProcessName,0, string_size(ProcessName)-string_size(Process))