説明
正解は B.eventtype=web_errors です。
イベント タイプは、検索に基づいてイベントを分類する方法です。イベント タイプは、特定の検索基準に一致するイベントにラベルを割り当てます。イベント タイプを使用して、イベントのフィルタリングとグループ化、アラートの作成、またはレポートの生成を行うことができます1。
特定のイベント タイプを持つイベントを検索するには、イベント タイプの名前を値として指定したeventtypeフィールドを使用する必要があります。この構文は次のとおりです。
イベントタイプ=<イベントタイプ名>
たとえば、イベント タイプが web_errors であるイベントを検索する場合は、次の構文を使用できます。
イベントタイプ=web_errors
これにより、web_errors イベント タイプで定義された検索基準に一致するイベントのみが返されます。
他のオプションは、イベント タイプに関連しない別の構文またはフィールドを使用するため、正しくありません。
これらのオプションは次のとおりです。
A: tag=web_errors: このオプションはタグ フィールドを使用します。これは、フィールド値に基づいてイベントに説明的なキーワードを追加する方法です。タグはイベント タイプとは異なりますが、一緒に使用できます。タグを使用すると、共通の特徴によってイベントをフィルタリングおよびグループ化することができます2。
C:eventtype「weberrors」:このオプションでは、イベント タイプ名を引用符で囲んでいますが、これはeventtypeフィールドの有効な構文ではありません。引用符は、検索でフレーズまたは完全一致を囲むために使用されます3。
D:eventtype (web_errors):このオプションでは、イベント タイプ名を括弧で囲んでいますが、これも、eventtype フィールドに対して有効な構文ではありません。括弧は、検索で式や用語をグループ化するために使用されます3。
参考文献:
イベントの種類について
タグについて
検索コマンドのチートシート

説明
正解はDです。
検索マクロは、SPL コードの一部をさまざまな検索で再利用する方法です。検索マクロは引数を取ることができます。引数は、マクロの呼び出し時に別の値に置き換えられる変数です。検索マクロには、その中に別の検索マクロを含めることもできます。これは、ネストされたマクロ 1 と呼ばれます。
マクロ定義で引数を表すには、ドル記号 ($) 文字を使用して引数名を囲む必要があります。たとえば、「object」という名前の 1 つの引数を取る検索マクロを作成する場合は、次の構文を使用できます。
[my_macro(object)] 検索sourcetype= object
これにより、object という名前の 1 つの引数を取る my_macro という名前の検索マクロが作成されます。検索でマクロを呼び出すときは、次のようにオブジェクト引数の値を指定する必要があります。
my_macro(ウェブ)
これにより、オブジェクト引数が値 web に置き換えられ、次の SPL コードが実行されます。
検索ソースタイプ=ウェブ
他のオプションは、引数を表すために引用符 (' または ") またはパーセント記号 (%) を使用しているため、正しくありません。これらはマクロ引数の有効な構文ではありません。これらの文字は、変数ではなくリテラル値として解釈されます。
参考文献:
検索で検索マクロを使用する

マウスを置いてクリックし、フィールド サイドバーまたは検索のイベントから検索語を追加したとき
結果が得られると、Splunk は暗黙の ANDoperator2 を使用してその用語を検索文字列に自動的に追加します。しかし、
これは、OR、NOT、括弧 () などの一部のブール演算子には適用されません。これらの演算子は、
検索語を追加するときに暗黙的に指定され、検索語で使用したい場合は手動で入力する必要があります。
検索文字列2。したがって、オプション A、B、D は正しいですが、AND が暗黙的に示されているため、オプション C は正しくありません。
検索語を追加するとき。

正解は B.eventtype=web_errors です。
イベント タイプは、検索に基づいてイベントを分類する方法です。イベント タイプは、イベントにラベルを割り当てます。
特定の検索条件に一致します。イベント タイプを使用して、イベントのフィルタリングとグループ化、アラートの作成、または生成を行うことができます。
レポート1.
特定のイベント タイプを持つイベントを検索するには、eventtype フィールドにイベントの名前を指定して使用する必要があります。
イベントタイプを値として指定します。この構文は次のとおりです。
イベントタイプ=<イベントタイプ名>
たとえば、イベント タイプが web_errors であるイベントを検索する場合は、次のコマンドを使用できます。
構文：
イベントタイプ=web_errors
これにより、web_errors イベント タイプで定義された検索基準に一致するイベントのみが返されます。
他のオプションは、イベント タイプに関連しない別の構文またはフィールドを使用するため、正しくありません。
これらのオプションは次のとおりです。
A: tag=web_errors: このオプションはタグ フィールドを使用します。これは、イベントに説明的なキーワードを追加する方法です。
フィールド値に基づいて。タグはイベント タイプとは異なりますが、一緒に使用できます。タグは次のことができます。
共通の特徴によってイベントをフィルタリングおよびグループ化するために使用されます2。
C:eventtype "weberrors": このオプションでは、イベント タイプ名を引用符で囲みます。
イベントタイプフィールドの有効な構文です。引用符は、語句または完全一致を囲むために使用されます。
検索3.
D:eventtype (web_errors): このオプションではイベント タイプ名を括弧で囲みますが、これも括弧ではありません。
イベント タイプ フィールドの有効な構文。括弧は、検索で式や用語をグループ化するために使用されます3。
参考文献:
イベントの種類について
タグについて
検索コマンドのチートシート

これは、イベント タイプが、eventtype という名前のフィールドとしてイベントに追加され、このフィールドを検索語として使用して、特定のイベント タイプに一致するイベントを検索できるためです。たとえば、eventtype= success_purchases は、イベント タイプ定義によって購入成功として分類されたすべてのイベントを返します。他のオプションは、異なるフィールド名 (タグ)、異なる構文 (イベント タイプ:: またはイベント タイプ-) を使用しているか、タイプミス (success ful_purchases) があるため、正しくありません。検索でのイベント タイプの使用方法の詳細については、Splunk ドキュメント 1 を参照してください。