Проблема оказывается сложнее, чем я описал. Я даже не могу понять, что она делает. Кажется, применяется какое-то дополнительное фильтрование, когда в дате нет "сегодня" или какого-то типа ограничения по событиям. Показываю быстрый пример ниже. Первый скриншот – период с 1 по 3 мая без поиска. Там тысячи записей, включая сотни событий "открыл дверь", включая одно, которое можно увидеть на скриншоте: Но когда я ищу "открыл дверь", ничего не возвращается для того же самого недавнего периода (и мы ЗНАЕМ, что должно быть событий "открыл дверь"): Если я выбираю период только "сегодня" и ищу "открыл дверь", всё работает нормально. Поиграл ещё немного, и оказалось, что как только период включает в себя больше 10 000 событий от текущей даты до выбранной, поиск полностью ломается. У нас всего несколько дверей, и мы легко можем иметь больше этого числа событий за пару недель назад. Это серьёзное ограничение при проведении любых исследований безопасности.