参照：
トランザクションとは、フィールド、時間、またはその両方など、いくつかの共通の特性を共有するイベントのグループです。トランザクションは、transaction コマンドを使用するか、props.conf で transactiontype=true を指定してイベント タイプを定義することで作成できます。トランザクション内のイベントには、相互に関係する 1 つ以上の共通フィールドがあります。たとえば、Web ログ内の各ユーザー セッションの一意の識別子である JSESSIONID に基づいてトランザクションを作成できます。トランザクション内のイベントは、同じタイムスタンプ、ソース タイプ、またはまったく同じフィールド セットを持つ必要はありません。トランザクションを定義する 1 つ以上のフィールドを共有するだけで済みます。

参照: https://docs.splunk.com/Documentation/Splunk/8.0.3/SearchReference/Transaction ユーザーがトランザクション コマンドと統計コマンドのどちらを選択するかを決める際に役立つ説明の 1 つは、トランザクション コマンドには 1000 イベントの制限があるということです3。トランザクション コマンドは、1 つ以上のフィールドで共通の値を共有するイベントをトランザクションにグループ化するために使用されます3。トランザクション コマンドのデフォルトの制限はトランザクションあたり 1000 イベントです。つまり、1000 を超えるイベントは単一のトランザクションにグループ化されません3。この制限は maxevents パラメータを使用して変更できますが、Splunk のパフォーマンスとメモリ使用量に影響する可能性があります3。したがって、オプション C は正しいですが、オプション A、B、および D は、ユーザーがトランザクション コマンドと統計コマンドのどちらを選択するかを決める際に役立つ説明ではないため、正しくありません。

説明
Splunk Common Information Model (CIM) アドオンを使用してデータを正規化する場合の推奨アプローチは、A. CIM データ モデル参照テーブルを参照することです。これは、CIM データ モデル参照テーブルが、データ モデル内の各データセットに予想されるフィールドとタグに関する詳細情報を提供するためです。参照テーブルを参照することで、データ ソースに関連するデータ モデルと、データ フィールドを CIM フィールドにマップする方法を判断できます。また、参照テーブルを使用してデータを検証し、正規化に関する問題をトラブルシューティングすることもできます。CIM データ モデル参照テーブルは、Splunk ドキュメント1 または Splunk Web2 のデータ モデル エディター ページにあります。その他のオプションは、CIM アドオンやデータ正規化に関連していないため、正しくありません。認証コマンドは、認証データ モデルに対してイベントを検証するカスタム コマンドですが、他の種類のデータの正規化には役立ちません。相関コマンドは、イベント フィールドに対して統計分析を実行する検索コマンドですが、データ フィールドを CIM フィールドにマップするのには役立ちません。イベント タイプは CIM アドオンの一部ではないため、CIM イベント タイプ参照テーブルは存在しません。

フィールド エクストラクターを使用して抽出されたフィールドはナレッジ オブジェクトとして保持されるという記述は正しいです。フィールド エクストラクター (FX) は、正規表現または区切り文字を使用して生のイベントからフィールドを抽出できるグラフィカル ツールです。FX によって抽出されたフィールドはナレッジ オブジェクトとして保存され、将来の検索に使用したり、他のユーザーと共有したりできます。

Splunk の timechart コマンドでは、データをグラフ化するための主軸として時間を使用するため、データセットに _time フィールドが存在する必要があります。_time フィールドはイベントの時間を表し、timechart などの時間に基づいて視覚化を生成するコマンドに不可欠です。このコマンドは、イベントを時間間隔にグループ化し、それらの時間間隔で統計関数を実行します。_time フィールドがないと、timechart コマンドは正しく機能しません。
参照：
Splunk ドキュメント - タイムチャート コマンド