参照：
https://docs.splunk.com/Documentation/ES/6.1.0/User/Howurgencyisassigned

説明
Splunk Enterprise Security のドキュメントによると、ES をインストールする前に必要なアクションの 1 つは、分散検索接続をリダイレクトすることです。このアクションは、サーチ ヘッド クラスターやサーチ ヘッド プールなどの分散検索環境にすでに接続されているサーチ ヘッドに ES をインストールする場合に必要です。分散検索接続を既存のサーチ ヘッドから ES を実行する新しいサーチ ヘッドにリダイレクトする必要があります。これは、ES には他のアプリやユーザーと共有されない専用の検索ヘッドが必要であるためです。分散構成管理ツールを使用して、分散検索接続をリダイレクトし、インデクサー用の Splunk Enterprise Security アプリを作成できます。詳細については、「分散検索接続のリダイレクト」を参照してください。
ES をインストールする前に他のアクションは必要ありませんが、ES のパフォーマンスとスケーラビリティを最適化するのに役立つ場合があります。KV ストアをパージすると、ディスク領域が解放され、古いデータが削除されますが、ES をインストールする前に行う必要はありません。詳細については、「KV ストアのパージ」を参照してください。インデクサーを追加すると、ES のインデックス作成および検索能力が向上しますが、ES をインストールする前に追加する必要はありません。詳細については、「展開計画」を参照してください。フォワーダーを追加すると、ES のデータ取り込みと転送機能が向上しますが、ES をインストールする前は必須ではありません。詳細については、「Splunk Enterprise Security へのデータの転送」を参照してください。参照 = 分散検索接続のリダイレクト KV ストアの展開計画のパージ データを Splunk Enterprise Security に転送します。

参照：
https://docs.splunk.com/Documentation/ES/6.1.0/User/NetworkProtectionDomaindashboards

参照：
https://docs.splunk.com/Documentation/ES/6.1.0/Admin/Listcorrelationsearches