正解はD.検索です。
ワークフロー アクションは、イベント内のフィールド間のさまざまな対話を可能にするナレッジ オブジェクトであり、
他の Web リソース。ワークフロー アクションでは、HTML リンクの作成、HTTP POST リクエストの生成、または起動を行うことができます。
フィールド値に基づく二次検索1。
Splunk Web を使用して設定できるワークフロー アクションには、GET、POST、Search2 の 3 種類があります。
GET ワークフロー アクションは、特定の項目で Google 検索を実行するなどのことを行うための一般的な HTML リンクを作成します。
値を確認するか、外部 WHOIS データベースに対してドメイン名クエリを実行します2。
POST ワークフロー アクションは、指定された URI への HTTP POST リクエストを生成します。このアクション タイプにより、
関連するフィールドのセットを使用して、外部の問題管理システムにエントリを作成するなどの作業を行うことができます。
値2.
検索ワークフロー アクションは、イベントからの特定のフィールド値を使用する二次検索を開始します。
ipaddress フィールド値と http_status フィールド値の特定の組み合わせの出現を探す検索
特定の時間範囲にわたるインデックス内の2.
したがって、二次検索を実行するワークフロー アクション タイプは検索です。
参考文献:
Splexicon:ワークフローアクション
Splunk Web のワークフローアクションについて

フィールドエクストラクターにアクセスするには、いくつかの方法があります。データ型、ソースを自動的に識別するオプション
タイプ、サンプル イベントは [フィールド] サイドバー > [新しいフィールドの抽出] です。フィールド抽出ツールは、次の作業に役立つツールです。
区切り文字または正規表現を使用してデータからフィールドを抽出します。フィールド抽出機能は正規表現を生成できます。
サンプル値の選択に基づいて、またはフィールド抽出ツールに独自の正規表現を入力できます。の
フィールド エクストラクターには、次のようなさまざまな方法を使用してアクセスできます。
[フィールド] サイドバー > [新しいフィールドの抽出]: これは、フィールド抽出ツールにアクセスする最も簡単な方法です。フィールド
サイドバーは、データに使用可能なすべてのフィールドとその値を表示するパネルです。をクリックすると
フィールド サイドバーで新しいフィールドを抽出すると、Splunk がデータ タイプ、ソース タイプ、およびデータ タイプを自動的に識別します。
現在の検索条件に基づいたデータのサンプル イベント。その後、フィールド抽出機能を使用して、
サンプル値を選択し、新しいフィールドの正規表現を生成します。
[イベント アクション] > [フィールドの抽出]: これは、フィールド抽出プログラムにアクセスする別の方法です。イベントアクションは、
イベントの詳細の表示など、検索結果内の個々のイベントに対して実行できるアクション
レポートへの追加、ダッシュボードへの追加など。イベント アクション メニューの [フィールドの抽出] をクリックすると、
Splunk は現在のイベントをデータのサンプル イベントとして使用し、ソース タイプを選択するよう求めます。
データのデータ型。その後、フィールド抽出機能を使用してサンプル値を選択し、
新しいフィールドの正規表現。
[設定] > [フィールド抽出] > [新しいフィールド抽出]: これは、フィールドにアクセスするためのより高度な方法です。
抽出器。設定は、インデックス、
入力、出力、ユーザー、ロール、アプリなど。 [設定] メニューの [新しいフィールド抽出] をクリックすると、
Splunk は、アプリのコンテキストなど、新しいフィールド抽出の詳細をすべて手動で入力するように求めます。
名前、ソース タイプ、データ タイプ、サンプル イベント、正規表現など。その後、フィールド エクストラクターを使用して検証または
新しいフィールドの正規表現を変更します。

タイムラインは、検索結果をグラフィカルに表現したもので、期間にわたるイベントの分布を示します。
時間２．タイムラインを使用して、特定の時間範囲を拡大または縮小したり、タイムライン上の 1 つ以上のバーを選択したりできます。
タイムラインを使用して、その時間範囲で結果をフィルタリングします2。ただし、これらのアクションでは検索が再実行されません。
選択した時間範囲に基づいて既存の結果を調整します2。したがって、選択肢 B、C、D は正しいのですが、
オプション A は不正解です。ズームアウトすると、より広い時間範囲で検索が再実行されます。

説明
Splunk には、コロプレス マップ用の次の KMZ ファイルが付属しています: 米国の州と世界の国々。KMZ ファイルは、KML ファイルとその他のリソースを含む圧縮ファイルです。KML ファイルは、地理的フィーチャとそのプロパティを定義する XML ファイルです。KMZ ファイルを使用すると、geom コマンドを使用して Splunk でコロプレス マップを作成できます。コロプレス マップは、何らかの指標に基づいて地理的領域を異なる色で表示するマップの一種です。Splunk には、コロプレス マップの地理的領域を定義する 2 つの KMZ ファイルが付属しています。
米国の州: この KMZ ファイルは、米国の 50 州とその境界を定義します。この KMZ ファイルの名前は us_states.kmz で、
$SPLUNK_HOME/etc/apps/maps/appserver/static/geo ディレクトリ。
世界の国: この KMZ ファイルは、世界の国とその境界を定義します。この KMZ ファイルの名前は world_countries.kmz で、
$SPLUNK_HOME/etc/apps/maps/appserver/static/geo ディレクトリ。
Splunk には、米国およびカナダの州および地方、または欧州連合諸国向けの KMZ ファイルは同梱されていません。ただし、独自の KMZ ファイルを作成することも、外部ソースからダウンロードして Splunk で使用することもできます。

参照：
https://docs.splunk.com/Documentation/Splunk/8.0.3/Knowledge/FXSelectMethodstep