Splunkでログを検索するときに、検索フィールドの横にある選択リスト？から対象となるログの時間帯を選ぶことが多いですが、SPLで直接指定する方法もあると思い調べてみました。
以下のように記載すると、10年前から１年前までのログを検索してくれるようです。
index=botsv1 earliest=-10y@y latest=-1y@y
なお、以下のように記述すると、統計的に20件以上発生しているsrc_ip をトップから表示してくれます。
index=botsv1 earliest=-10y@y latest=-1y@y| top limit=20 src_ip
また table を利用すると項目を絞って（以下の例の場合、_time, app, dest_ipのみ）ログを表示してくれます。
index=botsv1 earliest=-10y@y latest=-1y@y | table _time, app, dest_ip
コメントを残す