参照：
タグは、イベント内の 1 つ以上のフィールドまたはフィールド値に適用できる説明的なラベルです2。タグを使用すると、長いまたは複雑なフィールド名または値を短くて単純なタグに置き換えることで、検索を簡素化できます2。特定のフィールドの値に関連付けられたタグを検索するには、次の構文を使用できます: tag::<field>=<tagname>2。たとえば、tag::status=error は、ステータス フィールドに error という名前のタグがあるイベントを検索します。したがって、オプション D は正しいですが、オプション A、B、および C は、タグを検索するための正しい構文に従っていないため、正しくありません。

Splunk の計算フィールドは、eval 式を使用して検索時にフィールドを自動的に追加するように設計されています。
この機能により、ユーザーは既存のデータに基づいて新しいフィールドを定義でき、検索ごとに eval コマンドを手動で含める必要がなくなります。計算フィールドは、eval ロジックをフィールド構成に直接埋め込むことで、繰り返し実行される検索タスクを簡素化します。
参考文献:
* Splunk ドキュメント: 計算フィールド
* Splunk Answers: 計算フィールドの目的

この検索はthird_party_outagesマクロを実行し、引数EMEAと-24hをマクロに渡します。
定義。検索マクロは、他の検索に挿入できる再利用可能なSPLのチャンクです。検索マクロ
実行時に検索文字列を解決するために使用する引数を取ることができます。検索を使用する構文は
マクロはmacro_name (argument1, argument2, ...)です。参照検索での検索マクロの使用および検索
Splunk ドキュメントのマクロ例。