参考:https://docs.splunk.com/Documentation/Splunk/8.0.3/Knowledge/Definesearchmacros

説明
正解は D です。field2 の値は field1 の値に置き換えられます。
フィールド エイリアスは、追加の (新しい) 名前を既存のフィールド名に関連付ける方法です。フィールド エイリアスを使用すると、名前は異なるが同じデータを表すさまざまなソースからのフィールドを正規化できます。フィールド エイリアスは、わかりやすくしたり利便性を高めるためにフィールドの名前を変更するために使用することもできます1。
Splunk Web でフィールド エイリアスを作成する場合、[フィールド値を上書き] オプションを選択してフィールド エイリアスの動作を変更できます。このオプションは、元のフィールドに値がない、または存在しない状況、および元のフィールド 2 と並んでイベント内のフィールドとしてエイリアス フィールドが既に存在する状況を Splunk ソフトウェアがどのように処理するかに影響します。
[フィールド値を上書き] オプションを選択した場合、次のルールが適用されます。
元のフィールドが存在しないか、イベント内に値がない場合、エイリアス フィールドはそのイベントから削除されます。
元のフィールドとエイリアス フィールドの両方がイベントに存在する場合、エイリアス フィールドの値は元のフィールドの値に置き換えられます。
[フィールド値を上書きする] オプションを選択しない場合は、次のルールが適用されます。
元のフィールドが存在しないか、イベント内に値がない場合、そのイベント内のエイリアス フィールドは変更されません。
元のフィールドとエイリアス フィールドの両方がイベントに存在する場合、両方のフィールドはそれぞれの値で保持されます。
したがって、field1-field2 というフィールド エイリアスを作成し、[フィールド値の上書き] オプションを選択し、イベントに field1 の値のみが含まれている場合、field2 の値は field1 の値に置き換えられます。
参考文献:
計算フィールドについて
フィールドのエイリアスについて
Splunk Web でフィールド エイリアスを作成する

eval コマンドは、計算、変換、文字列操作などを実行するために式で使用できる多数の関数をサポートしています2。eval コマンド関数の 1 つは tostring() で、数値を文字列値 2 に変換します。したがって、オプション D は正しいですが、オプション A、B、および C は有効な eval コマンド関数ではないため、正しくありません。

フィールド抽出ユーティリティ (FX) は、グラフィカルなツールを使用してイベントからフィールドを抽出するのに役立つツールです。
インターフェースを変更するか、正規表現を手動で編集します2。FX には、表示されないイベントを表示するボタンがあります。
抽出されたフィールドが含まれています。これは [一致しない] ボタン 2 です。「一致しない」ボタンにはイベントが表示されます
フィールド抽出用に定義した正規表現と一致しないもの2。このようにして、次のことができます
フィールド抽出が正確かつ完全であるかどうかを確認します2. したがって、選択肢 B が正しいのに対し、選択肢 A、C、および
D は、抽出されたフィールドを含まないイベントを表示するボタンではないため、不正解です。