これをやるには min マクロ を使います。
SPLの書き方
下記のSPLは、dst_ip と date のセットで出現数をカウントし、最初に出現した時間（min）と最後に出現した時間（max）を表示させるSPLの例です。
sourcetype="fgt_traffic"
| stats min(time) as time_min, max(time) as time_max count by dest_ip, date
| table date, time_min, time_max, dest_ip, count
実際に実行するとこうなります。
