Opérateur de correspondance de graphique

S’applique à : ✅Microsoft Fabric✅Azure Data Explorer✅Azure Monitor✅Microsoft Sentinel

L’opérateur graph-match recherche toutes les occurrences d’un modèle de graphe dans une source de graphe d’entrée.

Syntaxe

G|graph-match [cycles=CyclesOption] Pattern [whereConstraints] project [ColumnName=] Expression [, ...]

Paramètres

Notation de modèle de graphe

Le tableau suivant montre la notation de graphique prise en charge :

Arête de longueur variable

Un bord de longueur variable permet de répéter plusieurs fois un modèle spécifique dans les limites définies. Ce type de bord est indiqué par un astérisque (*), suivi des valeurs d’occurrence minimale et maximale au format min..max. Les valeurs minimales et maximales doivent être entier scalaires. Toute séquence d’arêtes comprises dans cette plage d’occurrences peut correspondre au bord variable du modèle, si tous les bords de la séquence répondent aux contraintes décrites dans la clause where.

Séquences multiples

Plusieurs séquences délimitées par des virgules sont utilisées pour exprimer des modèles non linéaires. Pour décrire la connexion entre différentes séquences, elles doivent partager un ou plusieurs noms de variable d’un nœud. Par exemple, pour représenter un modèle en étoile avec le nœud n au centre connecté aux nœuds un,b,cet d, le modèle suivant peut être utilisé :

( un)--(n)--(b),(c)--(n)--(d)

Seuls les modèles de composants connectés uniques sont pris en charge.

Retourne

L’opérateur graph-match retourne un résultat tabulaire, où chaque enregistrement correspond à une correspondance du modèle dans le graphique.
Les colonnes retournées sont définies dans la clause project de l’opérateur à l’aide des propriétés des arêtes et/ou des nœuds définis dans le modèle. Les propriétés et les fonctions des propriétés des arêtes de longueur variable sont retournées sous la forme d’un tableau dynamique, chaque valeur du tableau correspond à une occurrence du bord de longueur variable.

Exemples

L’exemple suivant représente une hiérarchie organisationnelle. Il montre comment un arête de longueur variable peut être utilisé pour rechercher des employés de différents niveaux de la hiérarchie dans une requête unique. Les nœuds du graphique représentent les employés et les arêtes sont d’un employé à son responsable. Après avoir créé le graphique à l’aide de make-graph, nous recherchons des employés dans Alice'organisation plus jeune que 30.

let employees = datatable(name:string, age:long) 
[ 
  "Alice", 32,  
  "Bob", 31,  
  "Eve", 27,  
  "Joe", 29,  
  "Chris", 45, 
  "Alex", 35,
  "Ben", 23,
  "Richard", 39,
]; 
let reports = datatable(employee:string, manager:string) 
[ 
  "Bob", "Alice",  
  "Chris", "Alice",  
  "Eve", "Bob",
  "Ben", "Chris",
  "Joe", "Alice", 
  "Richard", "Bob"
]; 
reports 
| make-graph employee --> manager with employees on name 
| graph-match (alice)<-[reports*1..5]-(employee)
  where alice.name == "Alice" and employee.age < 30
  project employee = employee.name, age = employee.age, reportingPath = map(reports, manager)

de sortie

L’exemple suivant génère un graphique à partir des tables Actions et Entities. Les entités sont des personnes et des systèmes, et les actions décrivent différentes relations entre les entités. Après l’opérateur make-graph qui génère le graphique est un appel à graph-match avec un modèle de graphique qui recherche les chemins d’attaque vers le système "Apollo".

let Entities = datatable(name:string, type:string, age:long) 
[ 
  "Alice", "Person", 23,  
  "Bob", "Person", 31,  
  "Eve", "Person", 17,  
  "Mallory", "Person", 29,  
  "Apollo", "System", 99 
]; 
let Actions = datatable(source:string, destination:string, action_type:string) 
[ 
  "Alice", "Bob", "communicatesWith",  
  "Alice", "Apollo", "trusts",  
  "Bob", "Apollo", "hasPermission",  
  "Eve", "Alice", "attacks",  
  "Mallory", "Alice", "attacks",  
  "Mallory", "Bob", "attacks"  
]; 
Actions 
| make-graph source --> destination with Entities on name 
| graph-match (mallory)-[attacks]->(compromised)-[hasPermission]->(apollo) 
  where mallory.name == "Mallory" and apollo.name == "Apollo" and attacks.action_type == "attacks" and hasPermission.action_type == "hasPermission" 
  project Attacker = mallory.name, Compromised = compromised.name, System = apollo.name

de sortie

L’exemple suivant est similaire à l’exemple de chemin d’accès d’attaque précédent, mais avec une contrainte supplémentaire : nous voulons que l’entité compromise communique également avec Alice. Le préfixe de modèle graph-match est identique à l’exemple précédent et nous ajoutons une autre séquence avec le compromis comme lien entre les séquences.

let Entities = datatable(name:string, type:string, age:long) 
[ 
  "Alice", "Person", 23,  
  "Bob", "Person", 31,  
  "Eve", "Person", 17,  
  "Mallory", "Person", 29,  
  "Apollo", "System", 99 
]; 
let Actions = datatable(source:string, destination:string, action_type:string) 
[ 
  "Alice", "Bob", "communicatesWith",  
  "Alice", "Apollo", "trusts",  
  "Bob", "Apollo", "hasPermission",  
  "Eve", "Alice", "attacks",  
  "Mallory", "Alice", "attacks",  
  "Mallory", "Bob", "attacks"  
]; 
Actions 
| make-graph source --> destination with Entities on name 
| graph-match (mallory)-[attacks]->(compromised)-[hasPermission]->(apollo), (compromised)-[communicates]-(alice) 
  where mallory.name == "Mallory" and apollo.name == "Apollo" and attacks.action_type == "attacks" and hasPermission.action_type == "hasPermission" and alice.name == "Alice"
  project Attacker = mallory.name, Compromised = compromised.name, System = apollo.name

de sortie

Contenu connexe

• opérateurs graph
• opérateur make-graph
• tout()
• any()
• map()
• inner_nodes()