eval コマンドは、式を使用してフィールドを作成または変更できる Splunk コマンドです。
if 関数は、条件を評価し、条件が true か false に基づいて値を返す式です。if 関数の構文は if(X,Y,Z) です。X は条件、Y は X が true の場合に返される値、Z は X が false の場合に返される値です。
isnotnull 関数は、引数が null でない場合は true を返し、それ以外の場合は false を返す式です。
isnotnull 関数の構文は isnotnull(X) です。X はチェックする引数です。
したがって、式 if (isnotnull (src), src, host) は、src が null でない場合は src の値を返し、それ以外の場合は host の値を返します。これは、ホストが存在する場合は src から新しい値を提供し、存在しない場合はホストの元の値を保持することを意味します。

rex コマンドを使用すると、正規表現を使用してイベントからフィールドを抽出できます。レックス使えますよ
コマンドを使用して、イベント内のポート番号と一致する名前付きグループを指定します。例えば：
rex "\+\+\+\+ポート (?<ポート>\d+)"
これにより、イベントの値 54 を持つ port という名前のフィールドが作成されます。
フィールド間に一貫した区切り文字がないため、区切り文字メソッドはこのイベントには適していません。
正規表現方式は、フィールド抽出ツールの有効なオプションではありません。フィールド抽出ツールは次のことができます。
正規表現を抽出しますが、それ自体はメソッドではありません。
参考: 1 Splunk Core 認定パワー ユーザー | スプランク

参考:https://docs.splunk.com/Documentation/Splunk/8.0.3/SearchReference/Transaction