splunk每個主機的最新事件

Question

我想獲取每個主機的最新事件時間戳，谷歌搜索發現如下：

| metadata type = hosts |表主機，lastTime

它似乎工作，返回主機和時間戳，但是，時間戳是一個大整數，我該如何轉換爲本地時間？

另外我如何過濾它，以便它只返回某些主機？

謝謝。

Answer 1

對於時間格式 - 嘗試這個帖子：Splunk convert extracted field in currently milliseconds to HH:MM:SS

對於主機搜索 - 你應該能夠|搜索主機= XXXX