如何搜索Splunk中每天的给定时间范围？

Question

我正在尝试搜索Splunk中特定时间范围内发生的事件，但我希望该搜索涵盖所有我已编入索引的数据，其中涵盖了广泛的日期范围。

例如，我想查看索引日志文件中的行是否包含从我已编制索引的25天的日志中上午9点到下午4点之间的单词“错误”。如果在该时间范围之外出现“错误”一词，我不希望在搜索结果中显示该错误。

日期/时间格式，我使用MM/DD/YYYY HH：mm：ss的

任何想法如何，我可能会去这件事吗？

Answer 1

你可以尝试使用搜索是这样的：

index=foo earliest=-25d (date_hour > 9 and date_hour < 16) "Error"