Usar o operador extend

Concluído

O operador de extensão criará colunas calculadas e acrescentará as novas colunas ao conjunto de resultados.

O exemplo de KQL abaixo usa o operador de extensão para criar uma coluna, StartDir, que contém o diretório em que um processo foi iniciado. A coluna StartDir é uma coluna calculada que contém os resultados de uma função de substring.

SecurityEvent
| where ProcessName != "" and Process != ""
| extend StartDir =  substring(ProcessName,0, string_size(ProcessName)-string_size(Process))