在 KQL 中是否有“strcat_if”函數？

Question

我一直在使用 Defender ATP，並解析了多個列，但由於電子郵件安全性，我不得不解析格式為“potentialPhishURL”和“potentialPhishURL_vendor”的單獨列，這樣做我現在有兩列，通常當供應商已對 URL 應用了 shim，標准解析失敗，因此 strcat("potentialPhishURL", "potentialPhishURL_vendor") 不起作用，因為有時兩個字段都被填充。

當這兩個列都被填充時（potentialPhishURL 和 potentialPhishURL_vendor），它們顯然令人作嘔地合並，而不是我需要它的方式（唯一值或 strcat_if 為空）我猜。

有沒有人對如何做到這一點有任何經驗？ 當同一行上的一列為空時，合並 KQL 中的幾列？

如果可以的話，感謝您的閱讀/幫助！

CB

Answer 1

您應該使用iff()函數，例如：

iff(isempty(col2), col1, strcat(col1, col2))