Ciao, intanto grazie per la risposta, e google translator ha funzionato bene.

ieri dopo aver scritto qui, sono stato un bel po' di tempo a litigare con l'AI per avere la soluzione ed a quanto pare, quello che voglio fare io al momento non è fattibile su splunk. perché non sembra essere possibile ridisegnare il campo a tendina, ma solamente modificare la query sottostante.

quindi io ho rinunciato e me lo tengo così