Splunkでは、マクロの変数は、変数名をドル記号で囲むことで定義されます。例：
$変数名$。この構文を使用すると、検索内でマクロが呼び出されたときに、マクロが変数を適切な値で動的に置き換えることができます。この方法を使用することで、実行時に変数の値に基づいて検索文字列を動的に調整できます。
参考文献：
* Splunkドキュメント：マクロの使用
* Splunk Answers: マクロの定義と使用

視覚化を作成する際には、geom、geostats、iplocation というコマンドが使用されます。
ビジュアライゼーションとは、傾向、パターン、または比較を示すデータのグラフィカルな表現です。ビジュアライゼーションには、グラフ、表、地図など、さまざまな種類があります。ビジュアライゼーションは、データをビジュアライゼーションの種類に適した形式に変換するさまざまなコマンドを使用して作成できます。ビジュアライゼーションを作成する際に使用されるコマンドには、次のようなものがあります。
* geom: このコマンドは、何らかの指標に基づいて地理的領域を異なる色で表示するコロプレスマップを作成するために使用されます。geom コマンドは、地理的領域とその境界を定義する KMZ ファイルを引数として受け取ります。また、geom コマンドは、領域の色付けに使用する指標を指定するフィールド名も引数として受け取ります。
* geostats: このコマンドは、何らかの指標に基づいて、イベントのグループを異なるサイズと色で表示するクラスタマップを作成するために使用されます。geostats コマンドは、イベントの位置を指定する緯度と経度のフィールドを引数として受け取ります。また、geostats コマンドは、クラスタのサイズと色付けに使用する指標を指定する統計関数を引数として受け取ります。
* iplocation: このコマンドは、IPアドレスに基づいて異なる属性を持つイベントを表示する、位置情報に基づく視覚化を作成するために使用されます。iplocationコマンドは、引数としてIPアドレスフィールドを受け取り、国、都市、緯度、経度などの追加フィールドをイベントに追加します。iplocationコマンドは、geomやgeostatsなどの他のコマンドと組み合わせて、IPアドレスに基づくマップを作成するために使用できます。

参考資料：https://docs.splunk.com/Documentation/Splunk/8.0.3/Knowledge/Aboutdatamodels
データモデルとは、データを構造化され階層化された方法で表現するデータセットの集合です。
データモデルは、データがオブジェクトとフィールドにどのように整理されるかを定義します。データモデルは、1つまたは
以下のデータセットの続き：
イベントデータセット：これらは、Splunk の生イベントを表す基本データセットです。イベントデータセットはフィルタリングできます。
検索語、ソースタイプ、インデックスなどの制約によって。
検索データセット：これらは、イベントや他のデータセットに対する検索結果を表す派生データセットです。
検索データセットでは、stats、eval、rexなどの任意の検索コマンドを使用してデータを変換できます。
トランザクションデータセット: これらは、フィールド、時間、
あるいはその両方。トランザクションデータセットは、transactiontype=true を指定してトランザクションコマンドまたはイベントタイプを使用できます。
トランザクションを作成します。

参照：
https://answers.splunk.com/answers/574643/field-showing-an-additional-and-not-visible-value-1.html