Splunk - 查找仅在特定日期后出现的新值

【问题标题】：Splunk - find new values that only appear after a certain dateSplunk - 查找仅在特定日期后出现的新值
【发布时间】：2022-11-27 04:54:56
【问题描述】：

所以我正在查看日志，我想找到仅在特定日期后登录但之前根本不显示的 IP。我不确定如何在 Splunk 中执行此操作，但我知道这是可能的。假设日期是 10/1/2022，字段是 IP。

【问题讨论】：

标签： splunk

【解决方案1】：

像 following 这样的东西应该是 work：

index=ndx sourcetype=srctp ip=* 
| stats min(_time) as early by ip
| where early>strptime("10/01/2022","%m/%d/%Y")

【讨论】：

【解决方案2】：

假设您的日志功能时间戳等同于 Splunk 索引时间，最有效的方法是直接在搜索的“搜索词”部分指定您的时间范围

例如：

index=yourIndex earliest= 01/10/2022:00:00:00 latest=now

您还可以通过使用 UI 中的“时间选择器”来实现此目的

【讨论】：