De where-operator gebruiken
De where-operator filtert een tabel naar de subset van rijen die voldoen aan een predicaat.
Probeer elk van deze query's afzonderlijk om de resultaten te bekijken.
SecurityEvent
| where TimeGenerated > ago(1d)
SecurityEvent
| where TimeGenerated > ago(1h) and EventID == "4624"
SecurityEvent
| where TimeGenerated > ago(1h)
| where EventID == 4624
| where AccountType =~ "user"
SecurityEvent | where EventID in (4624, 4625)