Splunk 时间范围搜索

Splunk Web 界面显示时间线，指示事件在一段时间内的分布。有预设的时间间隔，你可以从中选择特定的时间范围，也可以根据需要自定义时间范围。

下面的屏幕显示了各种预设时间线选项。选择这些选项中的任何一个都将仅获取特定时间段的数据，你还可以使用可用的自定义时间线选项进一步分析这些数据。

例如，选择上个月选项只会为我们提供上个月的结果，如下面的时间线图所示。

选择时间子集

通过单击并拖动时间轴中的条，我们可以选择已经存在的结果子集。这不会导致重新执行查询。它只过滤掉现有结果集中的记录。

下图显示了从结果集中选择一个子集：

最早和最新

可以在搜索栏中使用最早和最新这两个命令来指示你过滤掉结果的时间范围。它类似于选择时间子集，但它是通过命令而不是单击特定时间线栏的选项。因此，它可以更好地控制你可以选择进行分析的数据范围。

在上图中，我们给出了过去 7 天到过去 15 天之间的时间范围。因此，将显示这两天之间的数据。

附近活动

我们还可以通过提及我们希望过滤掉事件的距离来找到特定时间的附近事件。我们可以选择间隔的比例，例如 - 秒、分钟、天和周等。