説明
https://docs.splunk.com/Documentation/Splunk/8.0.2/Knowledge/CreateworkflowactionsinSplunkWeb

タグに関する以下の記述は正しいです。タグはフィールド/値のペアに基づいており、検索に基づいてイベントを分類します。タグは、フィールドまたはフィールド値に適用してデータに追加のコンテキストや意味を与えることができるカスタムラベルです。タグは、共通の概念やテーマに基づいてデータをフィルタリングまたは分析するために使用できます。タグは、検索コマンド、構成ファイル、ユーザーインターフェイスなど、さまざまな方法で作成できます。タグの特性には、次のようなものがあります。
タグはフィールドと値のペアに基づいています。つまり、タグは特定のフィールド名と特定のフィールド値に関連付けられます。たとえば、「status」というフィールド名と「critical」というフィールド値に対して、「alert」というタグを作成できます。これは、status=critical のイベントのみに「alert」タグが適用されることを意味します。
タグは検索に基づいてイベントを分類します。つまり、タグは、タグ付けしたいイベントに一致する検索文字列によって定義されます。たとえば、検索文字列「sourcetype=access_combined」に対して「web」というタグを作成できます。これは、検索文字列「sourcetype=access_combined」に一致するイベントのみに「web」タグが適用されることを意味します。
タグに関する以下の記述は誤りです。 タグは大文字と小文字を区別せず、タグはデータをより理解しやすくするために設計されています。 タグは大文字と小文字を区別し、タグはデータをより検索しやすくするために設計されています。 タグは大文字と小文字を区別します。つまり、タグは関連付けられているフィールド名とフィールド値の正確な大文字と小文字に一致する必要があります。たとえば、フィールド名「status」とフィールド値「critical」に対して「alert」というタグを作成した場合、status=CRITICAL または Status=critical のイベントには適用されません。 タグはデータをより検索しやすくするために設計されています。つまり、タグは共通の概念やテーマを使用して、データ内の関連するイベントやパターンを見つけるのに役立ちます。たとえば、検索文字列 sourcetype=access_combined に対して「web」というタグを作成した場合、tag=web を使用して、Web アクティビティに関連するすべてのイベントを見つけることができます。

トランザクション コマンドを使用すると、複数のソースにわたるイベントを関連付けることができます。トランザクション コマンドは、フィールド、時間、またはその両方といった共通の特性に基づいてイベントをトランザクションにグループ化できる検索コマンドです。トランザクションとは、互いに関連付けられる 1 つ以上のフィールドを共有するイベントのグループです。トランザクションは、データの形式や構造が異なる複数のソースまたはソースタイプにまたがることができます。トランザクション コマンドは、共通のフィールドをグループ化の基準として使用することで、複数のソースにわたるイベントを関連付けるのに役立ちます。また、トランザクション コマンドは、期間、イベント数、開始時刻など、各トランザクションに追加のフィールドを作成することもできます。