如何根据历元时间而不是人类可读时间来查询splunk的最新时间和最早时间？

Question

我有一个名为“impact_time”的字段，里面有人类可读的日期。现在我想查询splunk的一系列impact_time。唯一的问题是，我拥有的最早和最近的时间是以时代格式。我如何根据我传递的时代范围进行splunk查询？

Answer 1

因为您需要的是字段范围内的数据，名为impact_time，因此请尝试直接在搜索中使用它。

index=... 
| search impact_time>[specific time to start] AND impact_time<[specific time to end] | ... 

假设您需要某个字段中某个特定范围的数据之间的事件，这恰好是时间。

Answer 2

您需要将impact_time从人类可读到时代转换为例如

... | eval impact_time_epoch=strptime(impact_time, "%Y-%m-%d %H:%M:%S) 

然后你可以使用where命令来过滤范围，你需要

例如

... | where impact_time_epoch >= EARLIEST impact_time_epoch <= LATEST