説明
これは、イベント タイプが、特定の検索条件に一致する一連のイベントにユーザー定義の名前を割り当てるナレッジ オブジェクトであるためです。たとえば、sourcetype=access_combined、status=200、action=purchase のイベントに対して successful_purchase という名前のイベント タイプを作成できます。次に、eventtype=successful_purchase を検索語として使用して、それらのイベントを検索できます。イベント タイプを使用して、アラート、レポート、ダッシュボードを作成することもできます。イベント タイプの詳細については、Splunk のドキュメント1 を参照してください。その他のオプションは、イベント タイプが何であるかを説明していないため、正しくありません。ログ レベルの測定は、情報、警告、エラーなど、イベントの重大度を示すフィールドです。フィールドが抽出される前に適用されるナレッジ オブジェクトは、データの形式と構造を識別するソース タイプです。ログ、メトリック、トレースはいずれも、Splunk が取り込んで分析できるデータ タイプですが、イベント タイプは取り込めません。

Splunkでは、チャートコマンドを使用する際にuseotherパラメータをfalse（f）に設定することで、
「OTHER」カテゴリは、Splunk が視覚化を簡素化するために、カーディナリティの低いグループを 1 つのグループに集約するために使用するバケットです。オプションの内訳は次のとおりです。
A: | chart count over CurrentStanding by Action useother=fこのコマンドは、useother パラメータを正しく false に設定し、結果の視覚化に「OTHER」カテゴリが表示されないようにします。
B: | chart count over CurrentStanding by Action usenull=f useother=tこのコマンドでは、useother が true (t) に設定されています。つまり、「OTHER」カテゴリが引き続き含まれるため、これは正しいオプションではありません。
C: | chart count over CurrentStanding by Action limit=10 useother=fオプション A と同様に、このコマンドも useother を false に設定し、さらに上位 10 件の結果に制限を課します。これは、チャートの粒度を制御する方法であると同時に、「OTHER」カテゴリを削除する方法でもあります。
D: | chart count over CurrentStanding by Action limit-10このコマンドには構文エラーがあり (limit-10 は limit=10 である必要があります)、useother=f 句が含まれていません。したがって、'OTHER' カテゴリは削除されず、正しくありません。
構文を書き直して「OTHER」カテゴリを削除する正解は、明示的に useother=f を設定するオプション A と C です。

Splunk には、コロプレス マップ用の次の KMZ ファイルが付属しています: 米国の州と世界の国々。KMZ ファイルは、KML ファイルとその他のリソースを含む圧縮ファイルです。KML ファイルは、地理的特徴とそのプロパティを定義する XML ファイルです。KMZ ファイルは、geom コマンドを使用して Splunk でコロプレス マップを作成するために使用できます。コロプレス マップは、あるメトリックに基づいて地理的領域を異なる色で表示するタイプのマップです。Splunk には、コロプレス マップの地理的領域を定義する 2 つの KMZ ファイルが付属しています:
米国の州: この KMZ ファイルは、米国の 50 州とその境界を定義します。この KMZ ファイルの名前は us_states.kmz で、$SPLUNK_HOME/etc/apps/maps/appserver/static/geo ディレクトリにあります。
世界の国々: この KMZ ファイルは、世界の国々とその境界を定義します。この KMZ ファイルの名前は world_countries.kmz で、$SPLUNK_HOME/etc/apps/maps/appserver/static/geo ディレクトリにあります。
Splunk には、米国およびカナダの州や地域、または欧州連合諸国の KMZ ファイルは付属していません。ただし、独自の KMZ ファイルを作成したり、外部ソースからダウンロードして Splunk で使用することはできます。

参照:https://answers.splunk.com/answers/4993/eventtype-vs-saved-search.html

視覚化を作成するときに、geom、geostats、iplocation の各コマンドが使用されます。
視覚化とは、傾向、パターン、比較を示すデータのグラフィカルな表現です。視覚化には、チャート、表、マップなど、さまざまな種類があります。視覚化は、データを視覚化の種類に適した形式に変換するさまざまなコマンドを使用して作成できます。視覚化を作成するときに使用するコマンドの一部は次のとおりです。
* geom: このコマンドは、ある基準に基づいて地理的領域を異なる色で表示する階層マップを作成するために使用されます。geom コマンドは、地理的領域とその境界を定義する KMZ ファイルを引数として受け取ります。geom コマンドは、領域の色付けに使用する基準を指定するフィールド名も引数として受け取ります。
* geostats: このコマンドは、何らかのメトリックに基づいて、さまざまなサイズと色でイベントのグループを表示するクラスター マップを作成するために使用されます。geostats コマンドは、イベントの場所を指定するための引数として緯度と経度のフィールドを取ります。geostats コマンドは、クラスターのサイズと色付けに使用するメトリックを指定するための引数として統計関数も取ります。
* iplocation: このコマンドは、IPアドレスに基づいて異なる属性を持つイベントを表示する場所ベースの視覚化を作成するために使用されます。iplocationコマンドは、IPアドレスフィールドを引数として受け取ります。
* 国、都市、緯度、経度などのいくつかの追加フィールドがイベントに追加されます。iplocation コマンドは、geom や geostats などの他のコマンドと組み合わせて使用​​して、IP アドレスに基づいてマップを作成できます。