_time は、Falcon イベント検索内で Unix 時刻（エポック）を UTC で読み取り可能な時刻に自動変換するために使用できる SPL（Splunk）フィールド名です。これは、各イベントのタイムスタンプを人間が読める形式で表示するデフォルトのフィールドです。utc_time、conv_time、time は、Unix 時刻を UTC で読み取り可能な時刻に変換するための有効な SPL フィールド名ではありません。

時間分析は、イベントのタイミングとシーケンスに焦点を当て、パターン、傾向、または異常を特定する分析の一種です。Falconプラットフォームで最近のすべての検出結果を並べ替え、最も古いものを特定することで、アナリストは時間分析を実行し、最初の被害者ホストの可能性を特定し、攻撃の起源を遡ることができます。