先了解这张认证
Splunk Core Certified Power User（SPLK-1002）是 Splunk 认证体系的第二级，承上启下 — 上接免费的 SPLK-1001 User，下接 SPLK-1003 Admin 和 SPLK-1004 Advanced Power User。官方要求必须先通过 SPLK-1001 才能报考 SPLK-1002，这点和 AWS/Azure 的认证不同，Splunk 的 path 是强制递进的。
考试形式：65 道题，57 分钟，70% 通过，费用 130 美元（2024 年 Splunk 从原来的 150 美元降价到 130，配合 SPLK-1001 改免费的整体策略 — Splunk 在主动降低整个认证体系的门槛，为了扩大 Splunk 人才池）。有效期 3 年。
和 SPLK-1001 只考基础 SPL 不同，SPLK-1002 的核心是高级 SPL + 知识对象（Knowledge Objects）。具体来说：eval 函数（if/case/coalesce/match/replace）、where 子句、subsearch 子搜索、rex/regex 正则字段提取、stats vs eventstats vs streamstats 的差异、lookup（CSV 和 KV Store 两种）、自动 lookup、Event Types、Tags、Macros、Workflow Actions、Data Models、以及 CIM（Common Information Model）数据规范化。这是一张必须动手才能考过的证 — 光看视频做不到。
2024 年 Cisco 以 280 亿美元收购 Splunk，是 Cisco 历史上最大的收购。短期内 Splunk 在 Fortune 500、大型金融、电信和政府机构的 SIEM 市场地位稳固，长期则要看 Cisco 怎么整合 Splunk 和自家的 XDR、ThousandEyes。对考生的现实影响是：未来 2-3 年 SPLK-1002 依然是 Splunk 岗位的标配，但 3-5 年后的走向有不确定性。
一句话判断：你所在的（或想去的）公司用 Splunk ES 做 SOC，或者用 Splunk 做企业日志平台 — 这张证必考；不用 Splunk 的公司，这张证对你帮助很小。
考试档案
- 考试代码
- SPLK-1002
- 发证机构
- 其他
- 题型
- single-choice / multiple-choice
- 考试语言
- English
- 证书有效期
- 3 年
你会学到的技能
学完能做什么
- 自信通过 Splunk Core Certified Power User SPLK-1002 认证
- 掌握 eval、rex、subsearch 等高级 SPL 命令的实际应用
- 能够独立创建和管理知识对象（宏、事件类型、查找表）
- 理解 CIM 数据规范化原理，为 ES 安全分析打好基础
适合这样的你
- 已持有 SPLK-1001 认证，准备晋级 Power User 的 Splunk 用户
- SOC 分析师和安全工程师，需要构建复杂 SPL 关联查询
- 数据分析师和 Splunk 报表开发人员，需要深入掌握数据模型
- Splunk 知识对象管理员（事件类型、宏、查找表维护）
开始前需要什么
- 已通过 SPLK-1001 Splunk Core Certified User 认证（官方前提要求）
- 熟悉基础 SPL 搜索命令（stats/chart/top 等）
- 3-6 个月以上 Splunk 搜索和报表创建实际经验
一步一步，准备好考试
安排你的备考
- 课程学习时长
- 35h
- 有相关实操经验
- 3-5 周
- 从基础开始
- 6-10 周
- 建议日投入
- 1-2h
备考支持
- 194 道练习题，覆盖 10 个官方考试领域
- 重点题型：高级 SPL 命令、知识对象场景应用
- AI 智能辅导，精准定位 eval/rex 等易错命令
- 模拟 63 题 / 57 分钟真实考试节奏
- 详细中文解析，配合 Splunk 官方文档引用
1. 第一阶段：确认 SPLK-1001 已过 + 搭实验环境（2-3 天）
SPLK-1001 是官方硬性前置，没过先去考 — 现在免费，没有理由不考。环境上建议直接装 Splunk Enterprise Free License（每天 500MB，永久免费）到本地 VM 或 WSL，或者用 Splunk Cloud Free Trial 14 天。导入 tutorialdata.zip 和 Buttercup Games 两份官方数据集。Power User 的每一个考点都要在真环境里练，光看书 100% 过不了。
2. 第二阶段：刷 Splunk Fundamentals 2 课程（1-2 周）
Splunk 官方的 Fundamentals 2 课程目前也免费（登录 Splunk Training），约 12 小时视频，几乎一对一覆盖 SPLK-1002 考纲。重点章节：Beyond Search Fundamentals（eval/where/subsearch）、Transforming Commands（stats/chart/timechart 的高级用法）、Creating and Managing Fields（rex/regex 提取、Field Aliases、Calculated Fields）、Creating Tags and Event Types、Creating and Using Macros、Creating and Using Workflow Actions、Creating Data Models。每看一节立刻在自己环境里复现。
3. 第三阶段：SPL 高级命令 + 知识对象动手练（2-3 周）
这是 Power User 备考的核心。具体任务：(1) eval 的 10+ 个常用函数（if/case/coalesce/match/replace/round/tostring/strftime/strptime/len）每个至少写 3 个例子；(2) 用 rex 命名捕获组从 Apache 日志里提取 URI、status、response_time，对比 sed 模式替换；(3) 上传一份 CSV（比如 product_category.csv）做静态 lookup，再配置一个 automatic lookup；(4) 自己创建一个带参数的 Macro，比如 top_errors(count) 返回 top N 个错误；(5) 完整走一遍 Data Model 创建 → Pivot 生成报表 → 加速 Data Model 的流程。这些做完才算真的会 Power User。
4. 第四阶段：CIM 规范化 + 模考（1 周）
CIM 是很多人容易忽略的点。理解 CIM 的核心思路：把不同厂商日志的字段名（比如 Cisco ASA 的 src_ip、Palo Alto 的 source_ip、iptables 的 src）统一映射到 CIM 的标准字段 src。装一个 Splunk CIM Add-on 看它的 tags.conf 和 eventtypes.conf 怎么写的。最后两天做模考：JR Academy 的题库刷 1-2 遍 + Splunk 官方 Sample Test，模考稳定 80% 以上再约考试。错题本必做，尤其是 stats vs eventstats vs streamstats 的区别题。
这张认证的职业价值
谁最该考这张证
-
已经在 Splunk shop 的 SOC Tier 1 想升 Tier 2：Tier 1 看 alert 就够了，Tier 2 要会自己写 SPL 做 threat hunting、构建 correlation search、维护公司的 Macro 和 Lookup 库。SPLK-1002 的知识点和 Tier 2 日常工作高度重合。澳洲四大行（CBA、NAB、Westpac、ANZ）的 SOC 升 Tier 2 几乎都会要求 SPLK-1002 或同等经验。
-
Splunk 开发人员 / 知识对象管理员：专门负责维护公司 Splunk 的 Macros、Event Types、Data Models、CIM 映射的角色。这是在大型 Splunk 部署里一个非常实在的岗位，美国市场薪资可以到 140-170k USD。
-
转型 Splunk Admin 的前置要求：SPLK-1003 Enterprise Admin 虽然不强制 SPLK-1002，但实际上 Admin 岗位面试一定会问高级 SPL 和知识对象，Power User 的知识是做 Admin 的必备基础。
谁不需要考
- 在 Datadog / Elastic / Splunk 之外栈的公司：eval/rex/Data Model/CIM 这些知识迁移到其他 SIEM 完全不能用。
- SPLK-1001 刚过就想一口气考完：Power User 考点密度很大，没有 3-6 个月 Splunk 实操经验直接上很痛苦。
- 只看 Splunk 仪表板的被动用户：如果你工作中不需要自己写 SPL，只是看别人做好的 dashboard，这张证对日常工作没帮助。
薪资的真相：SPLK-1002 对薪资的加成是"岗位层级跃升"，而不是"基础工资 +5%"。拿到 Power User + 有实际项目经验后，你从 SOC Tier 1（AUD 85-100k）跨到 Tier 2 或 Splunk Developer（AUD 120-155k），这个跨度是 20-40%，但前提是你真的能写出高质量的 SPL 和 Data Model，不是"只有证"。在美国市场，Splunk 专业岗位（Splunk Developer / Splunk Architect）普遍比通用 SIEM 岗位高 10-20%，因为 Splunk 人才相对稀缺。
Cisco 收购的长期影响：Cisco 正在把 Splunk 整合进自己的 XDR 产品线，未来 Splunk 的定价和客户结构可能向 Cisco 现有客户倾斜。对 SPLK-1002 持证者来说短期是利好（Cisco 渠道会带来更多 Splunk 项目），长期则要观察 Splunk 是否还会作为独立产品存在。
- 澳洲
- AUD 100,000 – 155,000
- 美国
- USD 110,000 – 175,000
- 中国
- CNY 250,000 – 500,000
- 新加坡
- SGD 85,000 – 140,000
备考时，做好这些事
- **65 题 / 57 分钟，平均 52 秒一题**：比 SPLK-1001 更紧张，长题干的场景题要快速抓关键词。看到 SPL 代码题先找管道符之间的逻辑。
- **transforming command 位置规则依然重要**：stats/chart/timechart/top/rare 只能在搜索末尾附近。如果选项里出现在搜索中段的，基本是干扰项。
- **"不修改原始事件"优先选 Field Alias / Calculated Field / Lookup**：Splunk 的 schema on read 原则 — 任何涉及修改 _raw 的选项都是错的。
- **看到"参数化可复用 SPL 片段"选 Macro，不是 Saved Search**：Macro 支持参数传递语法 `macro_name(arg1)`，Saved Search 是固定的。
- **CIM 相关题通常问字段映射或 datamodel 命令**：熟悉 Network_Traffic、Authentication、Web 这三个最常见的 CIM 模型及其核心字段（src、dest、user、action）。
- **费用和约考**：考试费 $130 USD（Pearson VUE），可以在线监考或线下考点。Splunk Training 登录后 → Certification → Schedule Exam → 跳转到 Pearson VUE。挂了 14 天后可以重考，重考还是全价，所以第一次尽量准备充分。
- **考后立即出结果**：交卷屏幕直接显示 Pass/Fail 和各考试域的百分比，没通过可以看到自己哪一块薄弱，方便下次针对性补。
这些误区要避开
- **搞混 Lookup 用 CSV 还是 KV Store** — CSV lookup 适合静态、小规模（几万行以下）、只读的参考表，比如 product_category、country_code。KV Store lookup 适合需要频繁写入更新、多 search head 共享状态的场景，比如 threat intel feed、用户会话跟踪。考题会问"需要从多个 search head 同时更新的查找表用哪种"，答案是 KV Store，不是 CSV。
- **eval 函数里的引号和括号写错** — eval 的字符串字面量必须用双引号（`eval status="error"`），字段引用不加引号（`eval new_field=status`），函数嵌套容易漏括号。最常见的错误：`eval result=if(status="200","ok","fail")` 和 `eval result=case(status="200","ok",status="404","not_found",1=1,"other")`。考试一定会有一两道题直接给 eval 语句让你判断输出，括号错位的选项是常见干扰项。
- **stats vs eventstats vs streamstats 分不清** — stats 聚合后把原始事件丢掉只保留聚合结果；eventstats 聚合后把结果作为新字段追加回每一个原始事件；streamstats 逐事件累计计算（running total）。考试最常见的场景：需要"在每一行旁边显示这个 host 的总数"用 eventstats，需要"累计计算前 N 行之和"用 streamstats。记不清就在自己 Splunk 里跑一次对比。
- **时间修饰符语法错误** — `earliest=-24h@h latest=@h` 表示"从 24 小时前的整点到当前整点"，`@h` 是 snap-to-hour。常见错误：写成 `earliest=-24hours` 或 `earliest=-1d latest=0`（latest=0 是非法的）。另一个坑：`relative_time(now(), "-1d@d")` 在 eval 里用来生成相对时间，容易和搜索头部的时间修饰符混淆。
- **Knowledge Object 的权限搞不清** — Splunk 的知识对象有三级权限：Private（仅创建者可见）、App（在当前 app 内所有人可见）、Global（所有 app 可见）。默认新建是 Private，这会导致"同事看不到我做的 Event Type"。考题会问"为什么同事的 search 里 eventtype 不生效"，答案通常是权限没改到 App 或 Global。这个坑很多人踩。
- **以为 Data Model 必须加速才能用** — Data Model 不加速也能直接用 Pivot 做查询，加速（Data Model Acceleration）只是让查询变快（通过预计算 tsidx 文件）。考题会问"加速的前提条件"——答案包括：只能加速 Accelerated-Compatible Data Model、需要管理员权限、会占用额外磁盘空间。新手容易误以为"不加速 Data Model 就用不了"。
- **忽略 rex 命令的 max_match 参数** — `| rex field=_raw "(?<ip>\d+\.\d+\.\d+\.\d+)" max_match=0` 里的 `max_match=0` 表示提取所有匹配（返回多值字段），默认是 1 只取第一个。考试里有日志行里有多个 IP、问如何全部提取的场景题。
报名之前，你可能想问
SPLK-1002 考试难度如何？和 SPLK-1001 相比提升了多少？
SPLK-1002（Splunk Core Certified Power User）是 Splunk 认证的中级考试，共 63 道题，57 分钟完成，通过分数线 70%。难度比 SPLK-1001 显著提升，主要体现在：(1) SPL 命令的深度和广度大幅增加，需要掌握 eval、where、rex、regex、lookup 等高级命令；(2) 需要理解知识对象（Knowledge Objects）的完整体系，包括事件类型、标签、字段提取、工作流操作等；(3) 数据模型和 CIM（Common Information Model）是新增的重要考点；(4) 考题更注重实际场景应用，需要根据需求选择最合适的 SPL 命令组合。建议在通过 SPLK-1001 后再准备 3-6 周。
SPLK-1002 考试的核心知识领域有哪些？各占多大比重？
考试涵盖以下核心领域：(1) 高级搜索命令（约 25%）：eval 函数、where 子句、子搜索（subsearch）、多值字段处理（mvexpand、mvcount）；(2) 知识对象（约 20%）：事件类型（Event Types）、标签（Tags）、宏（Macros）、工作流操作（Workflow Actions）、数据模型（Data Models）；(3) 字段提取和转换（约 15%）：使用正则表达式（rex/regex）提取字段、字段别名（Field Aliases）、计算字段（Calculated Fields）；(4) 查找表（约 15%）：CSV 查找、KV Store 查找、自动查找配置；(5) 报表和可视化（约 15%）：高级仪表板创建、drilldown 配置、动态表单输入；(6) CIM 和数据规范化（约 10%）。
SPLK-1002 考试中 Macros 和 Event Types 是必考内容吗？有什么区别？
是的，Macros（宏）和 Event Types（事件类型）是 SPLK-1002 的高频考点。核心区别：(1) Event Types 是基于搜索条件对事件进行分类的方式，通过定义搜索字符串来标记符合条件的事件，可以与 Tags 配合使用实现多层分类；(2) Macros 是可重用的搜索片段，支持参数传递，使用 macro_name(arg1, arg2) 语法调用，主要用于简化复杂搜索的编写和维护；(3) Event Types 在搜索时自动应用于匹配的事件，Macros 需要手动在搜索中调用；(4) Event Types 可以设置优先级（priority）和颜色标记；(5) Macros 通过 | makeresults 或嵌套搜索实现更灵活的逻辑。考试会考创建和使用的场景题。
通过 SPLK-1002 后可以考哪些高级认证？职业发展路径是什么？
通过 SPLK-1002 后的认证路径有两个方向：(1) 管理方向：考取 SPLK-1003（Splunk Enterprise Certified Admin），学习 Splunk 的安装、配置、集群管理和数据管道优化，适合 Splunk 管理员角色；(2) 高级用户方向：考取 SPLK-1004（Splunk Core Certified Advanced Power User），深入学习高级 SPL、CIM 数据模型加速和复杂搜索优化，适合 SOC 分析师或数据分析师；(3) 专业方向：获得基础认证后可以进入 SPLK-2001（Enterprise Security Admin）等专业领域认证。在就业市场上，SPLK-1002 持证者的岗位包括 Splunk 分析师、SOC 分析师和 IT 运维分析师，薪资通常比未认证人员高 15-25%。
SPLK-1002 考试中的 Lookups 和 Data Models 怎么准备？
Lookups（查找表）和 Data Models（数据模型）是 SPLK-1002 的重要考点，建议重点准备：(1) Lookups 需要掌握：CSV 查找文件的上传和配置、lookup 命令的语法（| lookup lookup_name field1 OUTPUT field2）、自动查找（Automatic Lookups）的设置方式、输入查找和输出查找的区别；(2) Data Models 需要掌握：数据模型的三种数据集类型（Events、Searches、Transactions）、如何通过 Pivot 界面创建可视化而无需编写 SPL、数据模型加速（Data Model Acceleration）的概念和用途、| datamodel 和 | tstats 命令的基本使用；(3) CIM（Common Information Model）需要理解其标准化字段命名的目的，以及 CIM Add-on 如何将不同数据源映射到统一的数据模型。动手在 Splunk 中创建查找表和数据模型是最有效的学习方式。
听听学过的人怎么说
评价加载中…
公司是 Splunk ES + Enterprise Security，从 Tier 1 升 Tier 2 组里要求必须有 SPLK-1002。我前前后后花了 5 周，其中 3 周在自己 Splunk Free 里练 eval 和 Data Model。考试里真的有场景题问"用 eventstats 还是 streamstats"，幸亏我提前把两个命令跑过对比，不然会懵。
Jason K.
Melbourne SOC Tier 2（金融） · 83% · 5 周
日常工作就是给 SOC 团队写 Macros 和维护 Lookup 库，考试内容基本就是日常工作。但 CIM 那块我平时用得少，花了整整 2 天把 CIM Add-on 的配置文件翻了一遍才搞懂。强烈建议所有人不要跳过 CIM，我看到至少 6-8 道题直接考 CIM 字段映射。
Rita S.
Splunk Developer（美国大型银行） · 88% · 4 周
SPLK-1001 过了之后隔了 3 个月才考 1002，事实证明间隔太久不是好事，很多 SPL 语法都忘了。Power User 最大的坑是 rex 正则 — 我以前没写过命名捕获组，光这一项就练了一周。另外 Macro 的参数传递语法一定要在真环境里敲一遍，光看文档记不住。
Wei L.
IT Ops 转 SOC（北京某电信） · 76% · 8 周
从第一章，开始你的备考。
前 2 章免费试学 · 完整备考 $29 起