説明
チャートは、2 つ以上のフィールド間の関係を示す検索結果のグラフィック表現です2。[フォーマット] メニューの [スタック モード] オプションを変更することで、チャートをスタック モードで表示できます2。スタック モードを使用すると、グラフ内で複数のシリーズを互いに積み重ねて、各シリーズの累積値を表示できます2。したがって、オプション C は正しいですが、オプション A、B、および D はスタック モードでグラフを表示する方法ではないため、正しくありません。

説明/参照: https://docs.splunk.com/Documentation/Splunk/8.0.3/Knowledge/Usesearchmacros

参考:https://docs.splunk.com/Documentation/Splunk/8.0.3/Knowledge/Setupasearchworkflowaction
ワークフロー アクションは、検索結果内のイベント フィールド値をクリックすると表示されるリンクです2。あ
ワークフロー アクションでは、Web ページを開いたり、フィールド値 2 に基づいて別の検索を実行したりできます。2種類あります
ワークフロー アクション: GET および POST2。GET ワークフロー アクションは、フィールド値を URI の末尾に追加し、
Web ブラウザで開きます2。POST ワークフロー アクションは、HTTP リクエストの一部としてフィールド値を
ウェブサーバー2。検索ワークフロー アクションを作成するとき。これは、実行される GET ワークフロー アクションの一種です。
フィールド値に基づいて別の検索を行う場合、必須フィールドは検索文字列 2 だけです。検索文字列の定義
ワークフロー アクションをクリックしたときに実行される検索2. したがって、選択肢 A は正しいですが、選択肢
B、C、D は、検索ワークフロー アクションの作成に必須のフィールドではないため、不正解です。

tag=Priv* 検索では、Privileged という名前のタグを含むイベントと、Privileged で始まるその他のタグが返されます。
プライベートと。アスタリスク (*) は、0 個以上の文字と一致するワイルドカード文字です。その他の検索
正確なタグ名とは一致しません。

デフォルトでは、アクセラレーションは Splunk Common Information Model (CIM) アドオンのデータ ソースに基づいて自動的に決定されます。Splunk CIM アドオンは、ネットワーク トラフィック、Web アクティビティ、認証などのさまざまなドメインに共通のデータ モデルを提供するアプリです。CIM アドオンを使用すると、事前定義されたフィールドとタグを使用してデータを正規化および強化できます。CIM アドオンを使用すると、データ モデルを高速化し、検索やレポートを高速化することもできます。アクセラレーションは、データ モデルの概要データを事前計算し、tsidx ファイルに保存する機能です。高速化により、データ モデルを使用する検索とレポートのパフォーマンスと効率が向上します。
デフォルトでは、アクセラレーションは CIM アドオンのデータ ソースに基づいて自動的に決定されます。これは、Splunk がデータ量、データタイプ、データモデルの複雑さなどのいくつかの要素に基づいて各データモデルのアクセラレーションを有効にするか無効にするかを決定することを意味します。ただし、次の方法で各データモデルのアクセラレーションを手動で有効または無効にすることもできます。 [設定] メニューを使用するか、datamodels.conf ファイルを編集します。