正解はA.startswithです。
説明は次のとおりです。
トランザクション コマンドは、さまざまな制約を満たすイベントに基づいてトランザクションを検索するために使用されます12。
トランザクションは、各メンバーの生のテキスト（_rawフィールド）、
最も古いメンバー、および各メンバーの他のすべてのフィールドの結合です1。
「startswith」オプションは、検索語句または
イベント13に一致する表現。
たとえば、| transaction clientip JSESSIONID startswith="view"は、次の内容に基づいてトランザクションを作成します。
clientipとJSESSIONIDフィールド、そして各トランザクションの最初のイベントには「view」という用語が含まれます。
_raw フィールド2。

参照:https://docs.splunk.com/Documentation/PCI/4.1.0/Install/PrivilegedUserActivity

履歴検索に指定された時間範囲は、その時間範囲に一致するインデックスから取得されるデータの量を定義します2。履歴検索は、過去の一定期間にわたって実行される検索です2。履歴検索を実行すると、Splunk はインデックスを検索し、検索文字列に一致し、指定された時間範囲2 内にあるイベントを探します。したがって、オプション B は正解ですが、オプション A と C は履歴検索の時間範囲で定義されていないため不正解です。

説明
正解は C です。イベントに非構造化データが含まれている場合。
正規表現方式は、ログ ファイルやテキスト メッセージなど、フィールドがコンマやスペースなどの一般的な区切り文字で区切られていない非構造化イベント データに最適です1。サンプル イベントを選択し、そのイベントから抽出する 1 つ以上のフィールドを強調表示すると、フィールド抽出機能がデータセット内の類似イベントに一致する正規表現を生成し、そこからフィールドを抽出します1。正規表現方式には、正規表現の精度をテストおよび調整するためのツールがいくつか用意されています。また、正規表現を手動で編集することもできます1。
区切り文字方式は、構造化イベント データ用に設計されています。構造化イベント データとは、イベント内のすべてのフィールドがコンマやスペースなどの共通の区切り文字で区切られているヘッダー付きファイルのデータです1。サンプル イベントを選択し、区切り文字を識別してから、フィールド抽出プログラムが検出したフィールドの名前を変更します1。この方法は正規表現方式よりもシンプルで高速ですが、複雑なデータ形式や不規則なデータ形式ではうまく機能しない場合があります1。
参照：
1: フィールド抽出機能を使用してフィールド抽出を作成する - Splunk ドキュメント

既存の高速化されたデータ モデルは編集できますが、構造編集を行う前にデータ モデルを非高速化する必要があります (オプション C)。これは、高速化プロセスにはデータの事前計算と保存が含まれ、データ モデルの構造を変更すると、事前計算されたデータが無効になったり、競合したりする可能性があるためです。データ モデルの高速化が解除され、編集が完了したら、再度高速化してパフォーマンスを最適化できます。