前月末日のみをデータの検索範囲にしたい場合

[Splunk_Shinobi]

前月末日のみをデータの検索範囲にしたい場合、earliestとlatestをどのようにしたらいいですか？

[melonman · Accepted solution]

昨日の２３時台

earliest=@d-1h latest=@d

先月の末日

earliest=@mon-1d latest=@mon

こんなかんじではいかがでしょう。