説明
SA-IndexCreation はすべてのインデクサーで必須です。非クラスタの分散環境の場合は、SA-IndexCreation を個々のインデクサーの $SPLUNK_HOME/etc/apps/ にコピーしてください。

参考: https://docs.splunk.com/Documentation/MSExchange/4.0.3/Reference/ServiceAnalyzer サービスアナライザーは、ITSI におけるサービス全体と KPI のステータスを監視できるダッシュボードです。サービスアナライザーには、すべてのサービスとそのヘルススコアのリストが表示されます。ヘルススコアは、各サービスがそれぞれの KPI に基づいてどの程度パフォーマンスを発揮しているかを示します。また、サービス内の各 KPI のステータスと値を確認したり、詳細な分析のために詳細な情報やグラステーブルにドリルダウンしたりすることもできます。サービスアナライザーは、サービスに影響を与える問題を特定し、その影響度と緊急度に基づいて優先順位を付けるのに役立ちます。サービスアナライザーの主な目的は次のとおりです。
D). サービス全体とKPIのステータスを監視します。これは、サービスアナライザーがサービスの健全性とパフォーマンス、そしてKPIの包括的なビューをリアルタイムで提供するためです。
その他のオプションは、次の理由により、サービス アナライザーの主な目的ではありません。
A) すべてのサービスとエンティティのリストを表示する。これは正しくありません。サービスアナライザーは、ITサービスを提供するために管理者の介入が必要となるITコンポーネントであるエンティティを表示しないためです。エンティティは、エンティティ管理やエンティティの健全性概要などの他のダッシュボードに表示されます。
B) しきい値違反に基づいて外部アラートをトリガーする。これは正しくありません。サービスアナライザーは、特定の条件が満たされたときに外部システムまたはユーザーに送信される通知であるアラートをトリガーしないためです。アラートは、ITSIで設定された相関検索またはアラートアクションによってトリガーされます。
C) アナリストがアラートにコメントを追加できるようにする。これは正しくありません。サービスアナライザーでは、外部システムやユーザーに送信される通知であるアラートにアナリストがコメントを追加できないためです。

環境によっては、独自の Enterprise Security 展開のハードウェア仕様を最小ハードウェア要件以上に引き上げる必要がある場合があります。
Splunk Enterprise Security を専用の検索ヘッドまたは検索ヘッド クラスターにインストールします。
Splunk プラットフォームは、インデクサーを使用して水平方向に拡張します。エンタープライズ セキュリティの導入に必要なインデクサーの数は、データ量、データの種類、保持要件、検索の種類、および検索の同時実行性によって異なります。
参考：https://docs.splunk.com/Documentation/ES/latest/Install/DeploymentPlanning A、B、Cが正解です。ITSI導入では、大量のデータの取り込みと処理が必要となるため、Splunkの基本要件よりも多くのハードウェアリソースが必要になることが多いためです。また、ITSI導入では、ITSIアプリを実行し、ITSI関連の検索とダッシュボードをすべて処理する専用の検索ヘッドも必要です。KPI検索の回数と頻度に応じて、必要なインデクサーの数も増加する可能性があり、大量のサマリーデータが生成される可能性があります。参考：ITSI導入の概要、ITSI導入計画

参考: https://docs.splunk.com/Documentation/ITSI/4.10.2/SI/BaseSearch A が正解です。「エンティティで分割」と「サービス内のエンティティにフィルター」の両方に「はい」を選択すると、KPI をそのサービス内のエンティティのみに自動的に制限し、各エンティティの KPI 値を生成できます。「エンティティで分割」では、KPI 検索結果をエンティティのエイリアスフィールドごとに分割し、各エンティティに対して個別の KPI 値を計算します。「サービス内のエンティティにフィルター」では、サービスに含まれないエンティティを KPI 検索結果から除外します。これにより、KPI がサービスに関連するエンティティのみを反映し、各エンティティの詳細な情報を提供できるようになります。参考: [ITSI での KPI 設定]

説明
デフォルトでは、KV ストアが大きくなりすぎないように、重要なイベント メタデータは 6 か月後にアーカイブされます。