SPLK-1001 考试难度如何？通过率是多少？需要多长时间准备？

SPLK-1001（Splunk Core Certified User）是 Splunk 认证体系的入门级考试，共 65 道题，57 分钟完成，通过分数线 70%（约需答对 46 题）。相比高级认证，难度适中，但不可掉以轻心。主要难点在于：(1) 需要熟悉 Splunk Web 界面操作，包括搜索栏、时间范围选择器和字段侧边栏的使用；(2) 基础 SPL 搜索命令的语法和参数容易混淆（如 stats vs chart vs timechart 的区别）；(3) 报表和仪表板的创建流程是高频考点。建议有 3-6 个月 Splunk 使用经验的人参加，准备时间约 2-4 周。

SPLK-1001 考试涉及哪些核心知识领域？重点考什么？

考试主要涵盖以下核心领域：(1) Splunk 基础组件：理解 Indexer、Search Head、Forwarder 的角色和数据流转过程；(2) 基本搜索：使用搜索栏执行搜索、使用布尔运算符（AND、OR、NOT）、通配符和关键字搜索；(3) 字段操作：理解默认字段（host、source、sourcetype）、使用字段进行过滤和统计；(4) 搜索语言基础：使用 transforming commands（如 top、rare、stats、chart）创建统计结果；(5) 报表和仪表板：创建保存的搜索、报表和基本仪表板面板；(6) 知识对象：了解事件类型、标签、字段别名的基本概念。其中搜索和字段操作约占 50% 以上。

SPLK-1001 和 SPLK-1002 有什么区别？应该先考哪个？

SPLK-1001（Core Certified User）是入门级认证，SPLK-1002（Core Certified Power User）是进阶认证。主要区别：(1) SPLK-1001 考察基本搜索、字段使用和简单报表创建；SPLK-1002 则深入考察高级搜索命令、查找表（lookups）、数据模型和 CIM 规范化；(2) SPLK-1001 要求能使用 Splunk Web 完成日常搜索任务；SPLK-1002 要求能创建复杂的 SPL 搜索并理解搜索优化；(3) 必须先通过 SPLK-1001 才能报考 SPLK-1002（官方前提要求）。建议按顺序考取，SPLK-1001 的知识是 SPLK-1002 的基础。

没有 Splunk 实际使用经验可以通过 SPLK-1001 吗？如何搭建练习环境？

纯理论学习很难通过考试，因为很多题目考察的是实际操作流程和界面细节。搭建练习环境的方式：(1) Splunk Free License：Splunk 提供免费版本，每天可索引 500MB 数据，功能足够学习和练习，直接从 splunk.com 下载安装；(2) Splunk 官方提供 Splunk Fundamentals 1 免费培训课程（约 10 小时），包含实验环境；(3) 可以导入示例数据（如 Splunk 的 tutorialdata.zip）进行搜索练习；(4) Buttercup Games 是官方练习数据集，考试中很多示例基于类似的电商日志数据。建议至少花 20-30 小时动手操作。

SPLK-1001 考试可以在线考吗？考试形式是怎样的？

SPLK-1001 可以在线监考（Pearson VUE Online Proctoring）或在 Pearson VUE 考试中心现场考试。考试细节：(1) 65 道单选和多选题，时间 57 分钟，平均每题约 53 秒；(2) 多选题会提示需要选择几个答案（如"Choose 2"）；(3) 考试费用约 $130 USD；(4) 认证有效期 3 年，到期后需要通过最新版考试续期；(5) 在线考试需要稳定的网络、摄像头和麦克风，考试过程中有真人监考。考试当天建议提前 15 分钟登录系统检查环境。未通过的话有 14 天等待期才能重考。

SPLK-1001 考试中 SPL 搜索命令是必考内容吗？需要掌握到什么程度？

SPL（Search Processing Language）是 SPLK-1001 的核心考点，约占考试的 40-50%。需要掌握的程度：(1) 基础搜索命令：fields、table、rename、dedup、sort、head/tail — 需要知道每个命令的语法和用途；(2) 转换命令：top、rare、stats（count、sum、avg、max、min）、chart、timechart — 需要理解它们的输出格式差异；(3) 搜索模式：了解 Fast Mode、Smart Mode、Verbose Mode 的区别和适用场景；(4) 管道符（pipe |）的概念：理解搜索结果如何从一个命令传递到下一个命令；(5) 不需要掌握 eval、rex、regex 等高级命令（这些是 SPLK-1002 的内容）。重点是理解命令的作用而非死记语法。

We Accept

关于公司

关于我们元宇宙课堂新闻资讯匠人工作成为导师匠人导师联系我们匠人商店J3.Club

匠人资源

工作内推匠人活动 1对1私教行业白皮书线上学习平台面试中心分享面试经验 Internship 会员中心

AI 工具

AI 工具箱考证匠 Cert Master 求职匠 Job Hunter 牛小匠 UniMate AI

AI 学习方向

全部学习方向 AI Engineer Context Engineering Vibe Coding Prompt Master AI Builder AI 产品经理 Python 入门

AI 应用提效

AI 办公提效 AI 数据分析 AI 财务 AI 内容创作 AI 视觉创作前端开发 Hermes Agent OpenClaw 本地智能体

大学资源

墨尔本大学昆士兰大学新南威尔士大学悉尼大学莫那什大学阿德莱德大学 RMIT QUT UTS

少儿 AI 教育

Airbotix 少儿 AI 编程澳洲家长实用资料库 NAPLAN 成绩单怎么看 My School 学校数据指南悉尼私校学费 2026 少儿编程课程与训练营

移民服务

澳洲移民技术移民189/190/491 雇主担保482/186/494 投资移民188/888 英国移民美国移民加拿大移民

企业合作

P3职业孵化器 Enterprise (EN)企业培训实习合作招聘合作申请合作

求职代理

岗位代投职位监控 LinkedIn代运营 LinkedIn人脉代加了解P3项目

匠人支持

FAQs Terms & Conditions Privacy Policy Cancellation & Refund Policy Site map

Top Categories

Web全栈班 DevOps项目班数据工程全栈班数据分析项目班编程入门班 Business Analyst实习算法集训营

求职就业

BA和产品经理实习数据科学实习数据分析实习 Marketing实习简历修改面试指导导师指导VIP

地址

Level 10b, 144 Edward Street, Brisbane CBD(Headquarter)

Level 2, 171 La Trobe St, Melbourne VIC 3000

四川省成都市武侯区桂溪街道天府大道中段500号D5东方希望天祥广场B座45A13号

Business Hub, 155 Waymouth St, Adelaide SA 5000

联系方式

hello@jiangren.com.au 0421-672-555

Disclaimer

JR Academy acknowledges Traditional Owners of Country throughout Australia and recognises the continuing connection to lands, waters and communities. We pay our respect to Aboriginal and Torres Strait Islander cultures; and to Elders past and present. Aboriginal and Torres Strait Islander peoples should be aware that this website may contain images or names of people who have since passed away.

ABN 26621887572

We Accept

关于公司

关于我们元宇宙课堂新闻资讯匠人工作成为导师匠人导师联系我们匠人商店J3.Club

匠人资源

工作内推匠人活动 1对1私教行业白皮书线上学习平台面试中心分享面试经验 Internship 会员中心

AI 工具

AI 工具箱考证匠 Cert Master 求职匠 Job Hunter 牛小匠 UniMate AI

AI 学习方向

全部学习方向 AI Engineer Context Engineering Vibe Coding Prompt Master AI Builder AI 产品经理 Python 入门

AI 应用提效

AI 办公提效 AI 数据分析 AI 财务 AI 内容创作 AI 视觉创作前端开发 Hermes Agent OpenClaw 本地智能体

大学资源

墨尔本大学昆士兰大学新南威尔士大学悉尼大学莫那什大学阿德莱德大学 RMIT QUT UTS

少儿 AI 教育

Airbotix 少儿 AI 编程澳洲家长实用资料库 NAPLAN 成绩单怎么看 My School 学校数据指南悉尼私校学费 2026 少儿编程课程与训练营

移民服务

澳洲移民技术移民189/190/491 雇主担保482/186/494 投资移民188/888 英国移民美国移民加拿大移民

企业合作

P3职业孵化器 Enterprise (EN)企业培训实习合作招聘合作申请合作

求职代理

岗位代投职位监控 LinkedIn代运营 LinkedIn人脉代加了解P3项目

匠人支持

FAQs Terms & Conditions Privacy Policy Cancellation & Refund Policy Site map

Top Categories

Web全栈班 DevOps项目班数据工程全栈班数据分析项目班编程入门班 Business Analyst实习算法集训营

求职就业

BA和产品经理实习数据科学实习数据分析实习 Marketing实习简历修改面试指导导师指导VIP

地址

Level 10b, 144 Edward Street, Brisbane CBD(Headquarter)

Level 2, 171 La Trobe St, Melbourne VIC 3000

四川省成都市武侯区桂溪街道天府大道中段500号D5东方希望天祥广场B座45A13号

Business Hub, 155 Waymouth St, Adelaide SA 5000

联系方式

hello@jiangren.com.au 0421-672-555

Disclaimer

ABN 26621887572

其他助理级📊 数据

Splunk Core Certified User

验证使用 Splunk 进行基础数据搜索、字段操作、报表创建和仪表板设计的核心能力，是 Splunk 认证体系的入门资格。

开始刷题查看学习路径

单次题量

205

题库总量

90m

考试时长

70/100

及格分

一句话定论 · 看情况

免费的入门级 Splunk 认证，SOC 分析师和 IT 运维在 Splunk shop 必拿，其他场景看公司栈。

这张认证到底考什么

先把考试形式、适合人群、备考时长和学习范围讲清楚，再决定要不要投入时间。

Splunk Core Certified User（SPLK-1001）是 Splunk 官方认证体系的第一张证，也是整个体系的地基。最重要的变化是 2024 年 Splunk 把这张证改成了完全免费 — 以前考一次 $130 USD，现在通过 Splunk 官方训练平台注册就能零成本参加。Splunk 这么做的原因很直接：扩大 Splunk 人才池，降低企业引入 Splunk 的用人门槛。对考生来说这意味着你几乎没有理由不考。

考试形式：约 57 道题，57 分钟，70% 通过。题目几乎全部围绕 SPL（Search Processing Language） 展开 — 基础搜索语法、字段提取、time range modifier、top/rare/stats/chart/timechart 这些 transforming command、lookup 表的使用、以及 dashboard 和 alert 的基础配置。不考 eval、rex、正则、数据模型、CIM 这些高级内容，那些是 SPLK-1002 Power User 的范围。认证有效期 3 年。

这张证的含金量完全取决于你所在的技术栈。2024 年 Cisco 以 280 亿美元收购 Splunk，这是 Cisco 历史上最大的收购案，也直接说明 Splunk 在企业 SIEM 和 observability 市场的地位 — 它依然是 Fortune 500 SOC、大型金融、电信、政府机构的事实标准。但另一方面，Datadog、Elastic、Grafana + Loki 这些竞争对手在云原生和中小企业市场正在快速蚕食 Splunk 的份额。如果你未来的公司已经从 Splunk 迁到 Datadog，这张证对你帮助有限。

换句话说：SPLK-1001 是一张"跟着客户走"的证。客户用 Splunk，你就必须会；客户不用 Splunk，它只是简历上一行装饰。

你会反复碰到的核心服务

Splunk Web 界面操作SPL 基础搜索语言top / rare / stats / chart / timechart 转换命令host / source / sourcetype 默认字段使用报表创建与保存基础仪表板面板设计Lookup 查找表配置计划报告与告警设置

学完以后你能带走什么

自信通过 Splunk Core Certified User SPLK-1001 认证考试
掌握 SPL 搜索语言和核心转换命令的实际应用
能够独立创建 Splunk 报表和基础仪表板
具备进一步备考 SPLK-1002 Power User 的知识基础

考试详情

考试代码

SPLK-1001

发证机构

其他认证机构

时长

90 分钟

题目数

65 题

及格分

70/100

有效期

3 年

题型

single-choice、multiple-choice

考试语言

English

官方页面

打开官方页面

适合谁考

适合人群

Splunk 平台初级用户，需要通过官方认证验证使用能力
IT 运维和安全监控工程师，日常使用 Splunk 分析日志
数据分析师和 SOC 初级分析师，需要掌握 Splunk 搜索语言
希望进入 Splunk 认证体系的 IT 从业者

开始前最好先有

3-6 个月 Splunk 实际使用经验（推荐）
基本了解 IT 基础设施概念（日志、服务器、网络）
无需先行认证，但建议先完成 Splunk Fundamentals 1 免费课程

值不值得考？职业价值

Splunk SPLK-1001 持证人的薪资区间、对应岗位、以及真实的职业影响。

澳洲

$85K-135KAUD

美国

$95K-150KUSD

中国

¥200K-400KCNY

新加坡

$70K-120KSGD

SOC Analyst (Tier 1/2)Security AnalystIT Operations EngineerObservability EngineerSplunk AdministratorSIEM Engineer安全运营分析师日志分析工程师

谁最该考这张证

SOC Tier 1 / Tier 2 分析师：几乎所有用 Splunk ES（Enterprise Security）的 SOC 岗位 JD 里都会写 "Splunk experience required"。SPLK-1001 是你向 HR 证明"我真的会用 Splunk 搜日志"的最低门槛。澳洲、美国大型银行（CBA、Westpac、JPMorgan）的 SOC 团队几乎 100% 用 Splunk。
IT 运维 / NOC 工程师：如果你所在公司用 Splunk 做日志聚合和故障排查，这张证帮你从"只会看 Kibana-like 界面"升级到"能写 SPL 自助排查"。日常工作效率翻倍。
转行安全的传统 IT 人员：SOC 是进入网络安全最常见的入门岗位，而 SOC 的日常工具 80% 时间都在 Splunk 里。SPLK-1001 + CompTIA Security+ 或 CySA+ 是转行 SOC 的黄金组合。

谁不需要考

在 Datadog / Elastic / Grafana 栈的公司：SPL 语法和这些工具的查询语言完全不同，知识迁移价值低。
纯开发岗位：后端/前端工程师日常看日志可能就用 kubectl logs 或 Datadog，Splunk 的深度搜索技能用不上。
想做云原生 observability：OpenTelemetry + Grafana + Loki + Tempo 这套栈才是未来，Splunk 的认证体系对这条路帮助不大。

薪资的真相：Splunk 技能本身不直接加薪，它是一项"特定岗位的必备门票"。在一个 Splunk shop 里，SOC 分析师起薪 AUD 85k，有 2-3 年 Splunk 经验能做到 120k+。但如果你跳到一家用 Datadog 的公司，这段经验只能折算成"通用日志分析能力"。

Cisco 收购后的不确定性：Cisco 280 亿美元吞下 Splunk 后，Splunk 的产品路线图和定价策略正在和 Cisco 的 XDR、ThousandEyes 整合。短期内 Splunk 依然主导企业 SIEM 市场，但 3-5 年后的格局有变数。SPLK-1001 作为免费入门证，ROI 依然正向。

备考节奏

有 AWS 实操经验

1-2 周

零基础切入

3-5 周

建议日投入

1-1.5 小时/天

学习路径预览

3 章

Splunk 基础组件与搜索入门

40 min

字段操作、转换命令与报表仪表板

120 min

模拟考试：全真题型综合演练

100 min

分阶段备考路径

过来人总结的分阶段备考节奏，按周拆分，不是空话。

第一阶段：注册 Splunk 免费环境（3-5 天）

去 splunk.com 下载 Splunk Enterprise Free License（每天可索引 500MB，永久免费），本地装上。或者更快的方式：注册 Splunk Cloud Free Trial（14 天全功能）。必须动手，不动手过不了 — 因为考试有大量界面操作和 SPL 输出结果的识别题。导入官方示例数据 tutorialdata.zip 和 Buttercup Games 数据集，这两份数据是 Splunk 官方教学的标配，考试里不少场景都长这样。

第二阶段：刷完 Splunk Fundamentals 1（1 周）

Splunk 官方的 Fundamentals 1 课程现在完全免费（splunk.com/en_us/training），约 10 小时视频，直接覆盖 SPLK-1001 考纲的 80%。重点章节：Introduction to Splunk（组件 Indexer/Search Head/Forwarder）、Basic Searching、Using Fields、Creating Reports and Dashboards。每看完一节立刻在你的 Splunk 实例里复现操作一遍，不要光看视频。

第三阶段：SPL 命令手动练习（1-2 周）

把下面这组命令每一个都在自己的 Splunk 里跑一遍：`search`、`fields`、`table`、`rename`、`dedup`、`sort`、`head/tail`、`top`、`rare`、`stats`、`chart`、`timechart`、`lookup`。特别要理解 `stats` vs `chart` vs `timechart` 的输出差异 — 这是高频考点。自己出题自己答：比如"找出过去 24 小时里访问量 top 10 的 URL"、"按小时统计每个 product_id 的销售额"，写出 SPL 并验证。

第四阶段：模考 + 官方样题（3-5 天）

JR Academy 的 206 道题刷 1-2 遍，错题本必须做。Splunk 官方也提供 Sample Test（约 20 题），一定要做，题型和真考最接近。模考稳定 80% 以上再约考试。考试前一天重点复习：pipe 的执行顺序、时间范围修饰符（earliest/latest）、字段提取和 lookup 的区别、dashboard 的保存流程。

通过者的真实经验

过来人的备考时长、分数、以及踩过的坑。

公司是 Splunk ES shop，入职前两周自学考的。说实话考试本身不难，但如果你没真的在 Splunk 里敲过 SPL，光看视频会死在 stats 和 chart 的输出题上。我练了 3 天 Buttercup Games 数据才搞明白。

Daniel T.85%

Sydney SOC Tier 1 Analyst · 备考 3 周

我日常就是在公司 Splunk 里排故障，以为不用准备就能过，结果模考 60% 被打醒。问题是我平时只会 `index=prod error | head 100` 这种，考试里的 timechart、lookup、dashboard 那些我从来没用过。老老实实刷了 10 天视频才过。

Mei L.78%

IT Operations Engineer (电信) · 备考 4 周

拿了 Security+ 之后补的这张证。Splunk Fundamentals 1 + 206 道题 + 一周动手操作就够了。面试的时候提到 SPLK-1001，HR 眼睛亮了 — 她说大部分转行的人简历上就一个 Security+，能证明真的动手过 Splunk 的很少。

Alex Z.82%

转行 SOC（前 Linux 运维） · 备考 5 周

同赛道认证对比

	Splunk SPLK-1001	Splunk SPLK-1002	Splunk SPLK-1003
机构	其他	其他	其他
级别	助理级	助理级	助理级
考试费	$0	$0	$0
时长	90 min	90 min	90 min
单次考试题量	65	65	65
有效期	3 年	3 年	3 年

备考技巧与常见失误

💡

**57 分钟 57 题，平均每题 1 分钟**：不要在任何一道题上卡超过 90 秒。不确定的立刻 Mark，最后回头再看。

💡

**注意 transforming command 的位置**：transforming command（stats/chart/timechart/top/rare）只能出现在搜索的末尾或倒数第二段，不能穿插在搜索中间。看到选项里 transforming command 出现在管道中段的，基本可以直接排除。

💡

**默认字段是送分题**：host、source、sourcetype、_time、_raw、index 这 6 个必须记死，考试至少 5 道题直接考这个。

💡

**看到"不修改原始数据"选 Lookup 或 Field Alias**：Splunk 强调"schema on read"，任何修改原始事件的操作都不对。

💡

**免费考试约考步骤**：登录 Splunk 训练平台 → 选 SPLK-1001 → 链接到 Pearson VUE → 选在线监考或线下考点。在线监考要提前 15 分钟登录测试摄像头和网络。

💡

**考完立刻拿结果**：交卷后屏幕直接显示 Pass/Fail 和各领域得分。挂了有 14 天等待期才能重考，但因为免费，再考一次没压力。

⚠️

**搞不清 pipe 的执行顺序** — SPL 是从左到右顺序执行的。`| stats count by host | where count > 100` 和 `| where count > 100 | stats count by host` 结果完全不同。考试至少 3-5 道题卡这个。

⚠️

**stats vs chart vs timechart 分不清** — stats 产出表格、chart 产出两维交叉表（第一个 by 字段作为行、第二个作为列）、timechart 强制按 _time 作为 X 轴。考前必须在自己的 Splunk 里把三个命令用同一份数据跑一遍对比输出。

⚠️

**Lookup 和字段提取混淆** — Lookup 是从外部 CSV/KV 文件补充字段，字段提取是从原始日志文本里解析字段。考试会问"如何给现有事件添加地理位置信息"这种，答案是 lookup，不是 extraction。

⚠️

**时间范围修饰符语法错误** — `earliest=-24h latest=now` 是正确的，`earliest=-24hours` 是错的。时间修饰符必须放在搜索命令的开头，不能放在 pipe 后面。

⚠️

**以为考 eval 和 rex** — 这俩是 SPLK-1002 Power User 的考点，SPLK-1001 不考。别浪费时间学 eval 的复杂函数和正则表达式。

⚠️

**不在真实 Splunk 里练** — 这是最大的坑。SPLK-1001 有大量"下图是 SPL 搜索结果，哪个选项描述正确"的题，纯看书完全不行。必须动手。

常见问题

如果你准备考 Splunk SPLK-1001，先从真题型练习开始。

205 道练习题、章节学习路径、模考、错题复盘和 AI 导师都在备考页里。

进入备考页

$29 起 · 前 2 章可免费试学

学员评价

评价加载中…