説明
Splunk共通情報モデル（CIM）は、さまざまなソースおよびソースタイプからのデータを正規化するための方法論を提供します。CIMは、Web、ネットワーク、電子メールなど、さまざまな種類のデータに対して共通のフィールドとタグのセットを定義します。これにより、さまざまなソースからのデータを一貫した方法で検索および分析できます。

参照: https://docs.splunk.com/Documentation/Splunk/8.0.3/Knowledge/Aboutdatamodels データモデルは、データを構造化され階層化された方法で表現するデータセットの集合です。データモデルは、データがオブジェクトとフィールドにどのように整理されるかを定義します。データモデルは、次のデータセットの 1 つ以上で構成できます。
イベントデータセット：これらは、Splunkにおける生のイベントを表す基本データセットです。イベントデータセットは、検索語、ソースタイプ、インデックスなどの制約によってフィルタリングできます。
検索データセット：これらは、イベントや他のデータセットに対する検索結果を表す派生データセットです。
検索データセットでは、stats、eval、rexなどの任意の検索コマンドを使用してデータを変換できます。
トランザクションデータセット：これらは、フィールド、時間、またはその両方によって関連付けられたイベントのグループを表す派生データセットです。トランザクションデータセットでは、トランザクションコマンドまたはtransactiontype=trueを指定したイベントタイプを使用してトランザクションを作成できます。

説明
正解はDです。field2の値はfield1の値で置き換えられます。
フィールドエイリアスとは、既存のフィールド名に別の（新しい）名前を関連付ける方法です。フィールドエイリアスは、異なるソースから取得した、名前は異なるものの同じデータを表すフィールドを正規化するために使用できます。また、フィールド名を分かりやすくしたり、利便性を高めたりするためにも使用できます。
Splunk Web でフィールド エイリアスを作成する際に、[フィールド値の上書き] オプションを選択して、フィールド エイリアスの動作を変更できます。このオプションは、元のフィールドに値がない場合や存在しない場合、およびエイリアス フィールドが元のフィールドと並んでイベントに既にフィールドとして存在する場合の Splunk ソフトウェアの処理方法に影響します。
「フィールド値を上書きする」オプションを選択した場合、以下のルールが適用されます。
元のフィールドがイベントに存在しないか、値が設定されていない場合、エイリアスフィールドはそのイベントから削除されます。
元のフィールドとエイリアスフィールドの両方がイベント内に存在する場合、エイリアスフィールドの値は元のフィールドの値に置き換えられます。
「フィールド値を上書きする」オプションを選択しない場合、以下のルールが適用されます。
元のフィールドがイベント内に存在しないか、値が設定されていない場合、そのイベント内のエイリアスフィールドは変更されません。
元のフィールドとエイリアスフィールドの両方がイベント内に存在する場合、両方のフィールドはそれぞれの値とともに保持されます。
したがって、field1-field2 というフィールドエイリアスを作成し、「フィールド値の上書き」オプションを選択した場合、イベントに field1 の値のみが含まれていると、field2 の値は field1 の値に置き換えられます。
参考文献：
計算フィールドについて
フィールドエイリアスについて
Splunk Webでフィールドエイリアスを作成する

Splunk の Pivot は、Splunk Search Processing Language (SPL™)1 を使用せずに特定のデータセットに関するレポートを作成できるツールです。ドラッグ アンド ドロップ インターフェイスを使用して、データのさまざまな側面をテーブル、グラフ、その他の視覚化の形式で表示するピボットを設計および生成できます。
Pivotの機能の一つに、レポートを保存できる機能があります¹。これは、レポートを再利用したり、他のユーザーと共有したりする場合に役立ちます¹。したがって、Pivo​​tで作成したビジュアライゼーションをユーザーが共有できない、あるいはPivot内のイベントを検索するためにSPLを使用する必要がある、というのは誤りです¹²。また、ビジュアライゼーションの作成はPivotの主要機能の一つであるため、ユーザーがPivotでビジュアライゼーションを作成できないというのも誤りです¹²。