Splunk SPL で特定の項目の出現回数でカウントし、さらに min を使って最初に出現した時間を表示させる

これをやるには min マクロ を使います。

SPLの書き方

下記のSPLは、dst_ip と date のセットで出現数をカウントし、最初に出現した時間（min）と最後に出現した時間（max）を表示させるSPLの例です。

sourcetype="fgt_traffic"
| stats min(time) as time_min, max(time) as time_max count by dest_ip, date
| table date, time_min, time_max, dest_ip, count

実際に実行するとこうなります。