Splunk でイベント タイプを作成する場合、検索文字列でサブ検索が許可されます。サブ検索を使用すると、ユーザーは、メイン検索の入力として結果を使用する二次検索を実行できます。この機能は、別の検索に基づく追加のフィルタリングや基準を必要とする、より複雑なイベント タイプ定義に役立ちます。
参考文献:
* Splunk ドキュメント: サブ検索について
* Splunk ドキュメント: イベント タイプの作成
* Splunk Answers: イベントタイプでのサブ検索の使用

参考: https://docs.splunk.com/Documentation/Splunk/8.0.3/Knowledge/SetupaGETworkflowaction

正解はBです。イベントカテゴリタグ。これは、CIMアドオンに次のコレクションが含まれているためです。
検索時にデータに適用できる、事前設定されたデータモデル。CIMの各データモデルは、
関心領域の最小公分母を定義するフィールド名とタグのセット。イベント
カテゴリタグは、認証、ネットワークトラフィック、または
ウェブアクティビティ。これらのタグを使用して、カテゴリに基づいてイベントをフィルタリングおよび分析できます。詳細については、
Splunkのドキュメント12のイベントカテゴリタグについての説明を参照してください。他のオプションは正しくありません。
CIMアドオンには含まれていません。検索マクロは、再利用可能な検索構文の一部であり、
他の検索から取得できます。CIMアドオンに固有のものではありませんが、一部のSplunkアプリでは独自の検索が提供されています。
独自の検索マクロ。ワークフロー アクションは、特定のフィールドまたはイベントで実行できるカスタム リンクまたはスクリプトです。
これらはCIMアドオンに固有のものではありませんが、一部のSplunkアプリは独自のワークフローを提供する場合があります。
アクション。tsidxファイルは、Splunkバケット内の生データへの用語とポインターを保存するインデックスファイルです。
これは Splunk のインデックス作成プロセスの一部であり、CIM アドオンとは関係ありません。

参考:https://docs.splunk.com/Documentation/CIM/4.15.0/User/Overview

説明/参照: https://docs.splunk.com/Documentation/Splunk/8.0.3/Knowledge/Setupasearchworkflowaction