現在時刻とイベントの時刻（_time）の差を秒単位で計算する正しい式はどれか。

2026年3月23日

now()関数と_timeはいずれもエポック時間を返すため、単純な引き算が可能です。

2つの異なるインデックスのデータを、計算後の共通フィールドで集計する最も効率的なSPLはどれか。

REXコマンドで、大文字小文字を区別せずに一致させるためのフラグはどれか。