Splunk Common Information Model (CIM) アドオンは、次の作業に役立つデータ モデルを含む Splunk アプリです。
さまざまなソースや形式からのデータを正規化します。CIM アドオンは、共通かつ一貫した方法を定義します。
Splunk のフィールドとイベントに名前を付けて分類します。これにより、データの関連付けと分析が容易になります。
ネットワーク、セキュリティ、Web などのさまざまなドメイン。CIM アドオンは機械学習を使用せず、
データを正規化しますが、事前定義されたフィールド名と値に依存します。CIM アドオンには次のものが含まれていません
データのマッピング方法を示すダッシュボードではなく、その使用方法に関するドキュメントと例を提供します。
データモデル。CIM アドオンは Splunk 環境に自動的にインストールされず、インストールする必要があります。
Splunkbase からダウンロードしてインストールします。

説明/参照: https://docs.splunk.com/Documentation/Splunk/8.0.3/Knowledge/Aboutdatamodels

計算フィールドを定義するとき、評価式によって作成または変更されるフィールドの名前を指定できます。計算フィールドの名前が既存の抽出フィールドの名前と一致する場合、計算フィールドは抽出フィールドをオーバーライドし、その値を eval 式の結果に置き換えます。これは、抽出されたフィールドの元の値を検索や分析に使用できないことを意味します。これを回避するには、計算フィールドに一意の名前を使用するか、抽出フィールドに別の名前を使用する必要があります2
1: Splunk Core Certified Power User Track (9 ページ)。 2: Splunk ドキュメント、props.conf を使用して計算フィールドを設定します。

説明
rex コマンドを使用すると、正規表現を使用してイベントからフィールドを抽出できます。rex コマンドを使用して、イベント内のポート番号と一致する名前付きグループを指定できます。例えば：
rex "\+\+\+\+ポート (?<ポート>\d+)"
これにより、イベントの値 54 を持つ port という名前のフィールドが作成されます。
フィールド間に一貫した区切り文字がないため、区切り文字メソッドはこのイベントには適していません。
正規表現方式は、フィールド抽出ツールの有効なオプションではありません。フィールド抽出ツールは正規表現を抽出できますが、それ自体はメソッドではありません。
参考: 1 Splunk Core 認定パワー ユーザー | スプランク