Splunk Enterprise：排除某些时间范围以获得更大的时间范围

【问题标题】：Splunk Enterprise: Exclude certain time ranges for a bigger time rangeSplunk Enterprise：排除某些时间范围以获得更大的时间范围
【发布时间】：2022-01-12 10:34:31
【问题描述】：

我需要知道是否有可能在给定时间段内排除某些时间范围？我有一个搜索公式，然后我选择了日期选择器，但想知道我是否可以过滤掉我已经选择的特定时间范围？

或者是从日期选择器菜单中进行多次搜索的唯一方法？

非常感谢

【问题讨论】：

标签： monitoring data-analysis splunk splunk-query splunk-dashboard

【解决方案1】：

按照您描述的方式过滤时间的方法是将其直接放入您的 SPL 中，而不是使用 earliest 和 latest 使用时间选择器

例如：

index=ndx sourcetype=srctp ((earliest=-24d latest=-20d) OR (earliest=-10d latest=-6d)
| <rest of SPL>

【讨论】：