https://docs.splunk.com/Documentation/Splunk/8.0.2/Knowledge/CreateworkflowactionsinSplunkWeb

履歴検索で指定する時間範囲は、その時間範囲に一致するインデックスから取得されるデータの量を定義します2。履歴検索とは、過去の一定期間にわたって実行される検索です2。履歴検索を実行すると、Splunk はインデックスを検索し、検索文字列に一致し、指定された時間範囲に含まれるイベントを探します2。したがって、オプション B は正解ですが、オプション A と C は履歴検索の時間範囲の定義とは異なるため、不正解です。

参照: https://docs.splunk.com/Documentation/CIM/4.15.0/User/Overview 共通情報モデル (CIM) は、さまざまなソースからのデータを正規化し、分析やレポート作成を容易にするための方法論です。CIM は、アラート、電子メール、データベース、ネットワーク トラフィック、Web など、さまざまなドメインの共通のフィールドとタグのセットを定義します。CIM を説明する記述の 1 つは、データを正規化するための方法論であるということです。つまり、さまざまなソースからのデータを標準的な方法で命名および構造化して、比較および相関付けできるようにします。したがって、オプション A が正解です。CIM を説明するもう 1 つの記述は、さまざまなソースからのデータを相関付けることができるということです。つまり、共通のフィールドとタグを共有するさまざまなソースからのデータに対して検索やレポートを実行できます。したがって、オプション B が正解です。 CIMを説明するもう1つの記述は、ナレッジマネージャーがCIMを使用してナレッジオブジェクトを作成するというものです。つまり、データモデル、フィールドエイリアス、タグ、イベントタイプなどのナレッジオブジェクトの作成と管理を担当する人は、CIMをガイドとして使用して、ナレッジオブジェクトの一貫性を保ち、他のアプリやアドオンとの互換性を確保することができます3。したがって、選択肢Cが正解です。選択肢DはCIMではなくその構成要素の1つを説明しているため、不正解です。

正解はA. startswithです。
説明は以下のとおりです。
トランザクションコマンドは、さまざまな制約を満たすイベントに基づいてトランザクションを検索するために使用されます12。
トランザクションは、各メンバーの生テキスト（_rawフィールド）、最も古いメンバーの時間と日付のフィールド、および各メンバーの他のすべてのフィールドの和集合で構成されます1。
startswith オプションは、検索語またはイベントに一致する式を指定することで、トランザクション内の最初のイベントを定義するために使用されます。
例えば、| transaction clientip JSESSIONID startswith="view" は clientip と JSESSIONID フィールドに基づいてトランザクションを作成し、各トランザクションの最初のイベントには _raw フィールド 2 に "view" という用語が含まれます。