参考:https://docs.splunk.com/Documentation/Splunk/8.0.3/Knowledge/Usesearchmacros

説明
正解は B です。自動検索によって追加されたフィールドです。
計算フィールドは、eval 式を使用して検索時にイベントに追加されるフィールドです。計算フィールドは、イベントに既に存在する 2 つ以上のフィールドの値を使用して計算を実行できます。計算フィールドは、計算フィールドが定義される前にフィールドが抽出されている限り、任意のフィールドをソースとして使用できます1。
自動ルックアップは、CSV ファイルやデータベースなどの外部ソースからの追加フィールドを使用してイベントを充実させる方法です。自動ルックアップでは、ホスト、ソース、ソースタイプ、その他の抽出されたフィールド2 などの既存のフィールドの値に基づいて、イベントにフィールドを追加できます。自動ルックアップは計算フィールドが定義される前に実行されるため、ルックアップによって追加されたフィールドは計算フィールド3 のソースとして使用できます。
したがって、計算フィールドは、自動ルックアップによって追加されたフィールドをソースとして使用できます。
参考文献:
計算フィールドについて
ルックアップについて
検索時間処理

説明
正解は B です。トランザクション コマンドには、トランザクションあたり 1000 イベントの制限があります。
トランザクション コマンドは、共通の値を共有するイベントを、トランザクションと呼ばれる 1 つのレコードにグループ化するために使用されます。トランザクションは複数のイベントと複数のソースにまたがることができ、関連しているが連続していないイベントを相関させるのに役立ちます1。
ただし、トランザクション コマンドにはいくつかの制限があり、その 1 つは、トランザクションごとに最大 1000 のイベントしかグループ化できないことです。つまり、トランザクションの条件に一致するイベントが 1000 を超える場合、複数のトランザクションに分割されます。その結果、トランザクションが不完全または不正確になる可能性があります2。
この制限を回避するには、transaction コマンドの代わりに stats コマンドを使用します。stats コマンドでも共通の値でイベントをグループ化できますが、グループあたりのイベント数に制限はありません。また、stats コマンドは transaction コマンドよりも高速で、メモリ消費量も少なくなります1。
検索では、stats list() 関数を使用して、イベントを src_ip と dest_ip でグループ化しています。この関数は、各グループの特定のフィールドのすべての値を含む複数値フィールドを返します。ただし、この関数は、トランザクション コマンドのように単一の相関イベントを作成しません。代わりに、グループごとに 1 行、フィールドごとに 1 列の結果テーブルを作成します3。
したがって、トランザクションあたり 1000 イベントの制限があるトランザクション コマンドを使用し、単一の相関イベントを作成しない stats list() 関数を使用しているため、検索では 1 つのトランザクションではなく複数のトランザクションが生成されます。
参考文献:
統計コマンドの概要
トランザクションコマンドの概要
Splunk トランザクション コマンド: その概要と使用方法
Splunk Core 認定パワーユーザー SPLK-1002 模擬試験 パート 1

正解は B です。HTTP エラー イベントのフィールド値を使用して、外部システムに新しいチケットを作成します。
ワークフロー アクションは、イベント内のフィールドと他の Web リソース間のさまざまなやり取りを可能にするナレッジ オブジェクトです。ワークフロー アクションでは、HTML リンクを作成したり、HTTP POST 要求を生成したり、フィールド値に基づいて二次検索を開始したりできます1。
Splunk Web を使用して設定できるワークフロー アクションには、GET、POST、Search2 の 3 種類があります。
GET ワークフロー アクションは、特定の値で Google 検索を実行したり、外部の WHOIS データベースに対してドメイン名クエリを実行したりするための一般的な HTML リンクを作成します2。
POST ワークフロー アクションは、指定された URI への HTTP POST リクエストを生成します。このアクション タイプを使用すると、関連するフィールド値のセットを使用して外部の問題管理システムにエントリを作成するなどの操作を実行できます2。
検索ワークフロー アクションは、特定の時間範囲2 におけるインデックス内の ipaddress フィールド値と http_status フィールド値の特定の組み合わせの出現を検索する検索など、イベントの特定のフィールド値を使用するセカンダリ検索を開始します。
したがって、POST ワークフロー アクションを使用する例は B です。HTTP エラー イベントのフィールド値を使用して、外部システムに新しいチケットを作成します。この例では、イベントのフィールド値を引数として、外部システムの URI に HTTP POST 要求を送信する必要があります。
他の例では、異なるタイプのワークフロー アクションを使用します。これらの例は次のとおりです。
A) イベントで見つかったドメイン値に基づいて外部 IP ルックアップを実行します。この例では、GET ワークフロー アクションを使用して、ドメイン値をパラメータとして外部 IP ルックアップ サービスへのリンクを作成します。
C) 選択したイベントの 1 つ以上のフィールド値を使用するセカンダリ Splunk 検索を起動します。この例では、検索ワークフロー アクションを使用して、イベントのフィールド値を検索用語として別の Splunk 検索を実行します。
D) Web ブラウザーを開いて HTTP ステータス コードを検索する: この例では、GET ワークフロー アクションを使用して、HTTP ステータス コードの意味を説明する Web ページへのリンクも作成します。
参照：
Splexicon:ワークフローアクション
Splunk Webのワークフローアクションについて