https://community.splunk.com/t5/Splunk-Search/%E6%89%8B%E5%8B%95%E3%82%B5%E3%83%BC%E3%83%81%E3%81%A8%E3%82%A2%E3%83%A9%E3%83%BC%E3%83%88%E7%B5%90%E6%9E%9C%E3%81%8C%E7%95%B0%E3%81%AA%E3%82%8B/m-p/394697#M171008 <P>SplunkはUIからの動作も含めてすべてRESTで受けますので、Splunkから見てサーチ文そのものの違いはありません。<BR /> そのため、厳密にサーチの条件が完全に一致しているのであれば、ご指摘の現象は起こる可能性はありません。</P> <P>Jobとしてサーチを処理しますので、Jobに渡されたサーチ文とその期間の範囲等を比較することで原因がわかる可能性があります。<BR /> また、limits.confにおける制限値が原因となって、若干の差異が発生しているかもしれません。<BR /> joinなどしていれば、その可能性も濃厚なのですが、いずれにせよ、job descriptionあるいはsearch.logにて原因がわかる可能性があります。</P> Sat, 24 Aug 2019 04:18:23 GMT tkomatsubara_sp 2019-08-24T04:18:23Z https://community.splunk.com/t5/Splunk-Search/%E6%89%8B%E5%8B%95%E3%82%B5%E3%83%BC%E3%83%81%E3%81%A8%E3%82%A2%E3%83%A9%E3%83%BC%E3%83%88%E7%B5%90%E6%9E%9C%E3%81%8C%E7%95%B0%E3%81%AA%E3%82%8B/m-p/394694#M171005 <P>Lookup tableを使用して手動サーチを行った結果と、同様のサーチコマンド、検索範囲を使用してアラートメールを飛ばした際の結果が異なるのはなぜでしょうか。</P> Thu, 30 May 2019 00:55:23 GMT https://community.splunk.com/t5/Splunk-Search/%E6%89%8B%E5%8B%95%E3%82%B5%E3%83%BC%E3%83%81%E3%81%A8%E3%82%A2%E3%83%A9%E3%83%BC%E3%83%88%E7%B5%90%E6%9E%9C%E3%81%8C%E7%95%B0%E3%81%AA%E3%82%8B/m-p/394694#M171005 ayato4713 2019-05-30T00:55:23Z https://community.splunk.com/t5/Splunk-Search/%E6%89%8B%E5%8B%95%E3%82%B5%E3%83%BC%E3%83%81%E3%81%A8%E3%82%A2%E3%83%A9%E3%83%BC%E3%83%88%E7%B5%90%E6%9E%9C%E3%81%8C%E7%95%B0%E3%81%AA%E3%82%8B/m-p/394695#M171006 <P>Can you share the search query you are using and structure of your CSV file?</P> Thu, 30 May 2019 02:15:38 GMT https://community.splunk.com/t5/Splunk-Search/%E6%89%8B%E5%8B%95%E3%82%B5%E3%83%BC%E3%83%81%E3%81%A8%E3%82%A2%E3%83%A9%E3%83%BC%E3%83%88%E7%B5%90%E6%9E%9C%E3%81%8C%E7%95%B0%E3%81%AA%E3%82%8B/m-p/394695#M171006 jawaharas 2019-05-30T02:15:38Z https://community.splunk.com/t5/Splunk-Search/%E6%89%8B%E5%8B%95%E3%82%B5%E3%83%BC%E3%83%81%E3%81%A8%E3%82%A2%E3%83%A9%E3%83%BC%E3%83%88%E7%B5%90%E6%9E%9C%E3%81%8C%E7%95%B0%E3%81%AA%E3%82%8B/m-p/394696#M171007 <P>@jawaharas がリクエストしているSearch Queryに加えて、手動サーチ実施時のサーチ時間範囲とアラートを仕掛けた際のサーチ時間範囲をいただければ、ヒントが見えてくると思います。</P> Thu, 30 May 2019 03:10:06 GMT https://community.splunk.com/t5/Splunk-Search/%E6%89%8B%E5%8B%95%E3%82%B5%E3%83%BC%E3%83%81%E3%81%A8%E3%82%A2%E3%83%A9%E3%83%BC%E3%83%88%E7%B5%90%E6%9E%9C%E3%81%8C%E7%95%B0%E3%81%AA%E3%82%8B/m-p/394696#M171007 melonman 2019-05-30T03:10:06Z https://community.splunk.com/t5/Splunk-Search/%E6%89%8B%E5%8B%95%E3%82%B5%E3%83%BC%E3%83%81%E3%81%A8%E3%82%A2%E3%83%A9%E3%83%BC%E3%83%88%E7%B5%90%E6%9E%9C%E3%81%8C%E7%95%B0%E3%81%AA%E3%82%8B/m-p/394697#M171008 <P>SplunkはUIからの動作も含めてすべてRESTで受けますので、Splunkから見てサーチ文そのものの違いはありません。<BR /> そのため、厳密にサーチの条件が完全に一致しているのであれば、ご指摘の現象は起こる可能性はありません。</P> <P>Jobとしてサーチを処理しますので、Jobに渡されたサーチ文とその期間の範囲等を比較することで原因がわかる可能性があります。<BR /> また、limits.confにおける制限値が原因となって、若干の差異が発生しているかもしれません。<BR /> joinなどしていれば、その可能性も濃厚なのですが、いずれにせよ、job descriptionあるいはsearch.logにて原因がわかる可能性があります。</P> Sat, 24 Aug 2019 04:18:23 GMT https://community.splunk.com/t5/Splunk-Search/%E6%89%8B%E5%8B%95%E3%82%B5%E3%83%BC%E3%83%81%E3%81%A8%E3%82%A2%E3%83%A9%E3%83%BC%E3%83%88%E7%B5%90%E6%9E%9C%E3%81%8C%E7%95%B0%E3%81%AA%E3%82%8B/m-p/394697#M171008 tkomatsubara_sp 2019-08-24T04:18:23Z