参照:https://docs.splunk.com/Documentation/PCI/4.1.0/Install/PrivilegedUserActivity
タグは、イベント内の 1 つ以上のフィールドまたはフィールド値に適用できる説明的なラベルです1。あなたはできる
タグを使用して、長くまたは複雑なフィールド名または値を短くて単純なものに置き換えることで、検索を簡素化します。
タグ1. タグ名を含むイベントを検索するには、タグのキーワードに続けて等号を使用します。
とタグ名1。ワイルドカード (*) を使用して、部分的なタグ名と一致させることもできます1。したがって、選択肢Bが正しいです
Pri で始まるタグ名を含むイベントが返されるためです。選択肢 A と D は正しくありません。理由は次のとおりです。
完全に一致するタグ名を含むイベントのみを返します。選択肢 C は次の結果を返すため、不正解です。
Privileged ではなく Priv で始まるタグ名を含むイベント。

以下の検索では、「alert」タグが「host」フィールドに限定されます。
タグ::ホスト=アラート
検索では次のことが行われます。
タグ構文を使用してイベントをタグでフィルタリングします。タグは、フィールドまたはフィールドに適用できるカスタム ラベルです。
値を使用して、データに追加のコンテキストや意味を提供します。
タグフィルターとして tag::host=alert を指定します。これは、「アラート」のあるイベントのみを返すことを意味します。
ホストフィールドまたはホストフィールド値に適用されるタグ。
等号 (=) を使用して、タグとフィールドまたはフィールド値が完全に一致することを示します。