説明
正解は B です。検索処理言語の再利用可能な部分です。
説明は次のとおりです。
検索マクロは、SPL のチャンクを他の検索に挿入できるようにする知識オブジェクトです12。
検索マクロは、eval ステートメントや検索用語など、検索の任意の部分として使用でき、完全なコマンドである必要はありません12。
マクロ フィールドが引数を取るかどうかを指定し、それらの検証式を定義することもできます12。
検索マクロを使用すると、SPL 検索を短くしてわかりやすくすることができます3。
検索文字列で検索マクロを使用するには、マクロ名の前後にバックティック文字 () を付ける必要があります[^1^][1]。たとえば、mymacro` です。

データモデルコマンドを使用すると、高速化されたデータモデルで検索を実行できます1。構文
データ モデル コマンドを使用する方法は、| datamodel <model_name> <dataset_name> [search <search_string>]1 です。したがって、オプションAは、データモデルコマンドを使用してデータモデル内のフィールドを検索する
正しい方法です。
ウェブデータセット内。オプションBとCはデータモデルの構文に従っていないため、正しくありません。
コマンド。オプション D は、データ モデル コマンドをまったく使用していないため、正しくありません。

トランザクション コマンドは、さまざまな制約を満たすイベントに基づいてトランザクションを検索する Splunk コマンドです1。
トランザクションは、各メンバーの生のテキスト (_raw フィールド)、最も古いメンバーの時刻と日付のフィールド、および各メンバーのその他のすべてのフィールドの結合で構成されます1。
トランザクション コマンドは、トランザクション 12 の一部である生のイベントにいくつかのフィールドを追加します。これらのフィールドは次のとおりです。
期間: トランザクション内の最初のイベントと最後のイベントのタイムスタンプ間の差 (秒単位)12。
eventcount: トランザクション内のイベントの数12。
closed_txn: トランザクションが閉じられているか、または削除されているかを示すブール フィールド2。トランザクションは、maxevents、maxpause、maxspan、または startswith2 のいずれかの条件を満たす場合に閉じられます。トランザクションは、これらの条件のいずれにも一致せず、maxopentxn または maxopenevents23 で指定されたメモリ制限を超えると削除されます。
したがって、closed_txn フィールドの値をチェックすることで、削除されたトランザクションと削除されていないトランザクションを区別できます。closed_txn フィールドは、削除されたトランザクションの場合は 0 (false) に設定され、削除されていないトランザクション、つまり閉じられたトランザクションの場合は 1 (true) に設定されます23。

正解は B です。自動検索によって追加されたフィールドです。
計算フィールドは、eval 式を使用して検索時にイベントに追加されるフィールドです。計算フィールドは、イベントに既に存在する 2 つ以上のフィールドの値を使用して計算を実行できます。計算フィールドは、計算フィールドが定義される前にフィールドが抽出されている限り、任意のフィールドをソースとして使用できます1。
自動ルックアップは、CSV ファイルやデータベースなどの外部ソースからの追加フィールドを使用してイベントを充実させる方法です。自動ルックアップでは、ホスト、ソース、ソースタイプ、その他の抽出されたフィールド2 などの既存のフィールドの値に基づいて、イベントにフィールドを追加できます。自動ルックアップは計算フィールドが定義される前に実行されるため、ルックアップによって追加されたフィールドは計算フィールド3 のソースとして使用できます。
したがって、計算フィールドは、自動ルックアップによって追加されたフィールドをソースとして使用できます。
参考文献:
* 計算フィールドについて
* ルックアップについて
* 検索時間処理