SPLK-1002 考试难度如何？和 SPLK-1001 相比提升了多少？

SPLK-1002（Splunk Core Certified Power User）是 Splunk 认证的中级考试，共 63 道题，57 分钟完成，通过分数线 70%。难度比 SPLK-1001 显著提升，主要体现在：(1) SPL 命令的深度和广度大幅增加，需要掌握 eval、where、rex、regex、lookup 等高级命令；(2) 需要理解知识对象（Knowledge Objects）的完整体系，包括事件类型、标签、字段提取、工作流操作等；(3) 数据模型和 CIM（Common Information Model）是新增的重要考点；(4) 考题更注重实际场景应用，需要根据需求选择最合适的 SPL 命令组合。建议在通过 SPLK-1001 后再准备 3-6 周。

SPLK-1002 考试的核心知识领域有哪些？各占多大比重？

考试涵盖以下核心领域：(1) 高级搜索命令（约 25%）：eval 函数、where 子句、子搜索（subsearch）、多值字段处理（mvexpand、mvcount）；(2) 知识对象（约 20%）：事件类型（Event Types）、标签（Tags）、宏（Macros）、工作流操作（Workflow Actions）、数据模型（Data Models）；(3) 字段提取和转换（约 15%）：使用正则表达式（rex/regex）提取字段、字段别名（Field Aliases）、计算字段（Calculated Fields）；(4) 查找表（约 15%）：CSV 查找、KV Store 查找、自动查找配置；(5) 报表和可视化（约 15%）：高级仪表板创建、drilldown 配置、动态表单输入；(6) CIM 和数据规范化（约 10%）。

SPLK-1002 考试中 Macros 和 Event Types 是必考内容吗？有什么区别？

是的，Macros（宏）和 Event Types（事件类型）是 SPLK-1002 的高频考点。核心区别：(1) Event Types 是基于搜索条件对事件进行分类的方式，通过定义搜索字符串来标记符合条件的事件，可以与 Tags 配合使用实现多层分类；(2) Macros 是可重用的搜索片段，支持参数传递，使用 `macro_name(arg1, arg2)` 语法调用，主要用于简化复杂搜索的编写和维护；(3) Event Types 在搜索时自动应用于匹配的事件，Macros 需要手动在搜索中调用；(4) Event Types 可以设置优先级（priority）和颜色标记；(5) Macros 通过 `| makeresults` 或嵌套搜索实现更灵活的逻辑。考试会考创建和使用的场景题。

通过 SPLK-1002 后可以考哪些高级认证？职业发展路径是什么？

通过 SPLK-1002 后的认证路径有两个方向：(1) 管理方向：考取 SPLK-1003（Splunk Enterprise Certified Admin），学习 Splunk 的安装、配置、集群管理和数据管道优化，适合 Splunk 管理员角色；(2) 高级用户方向：考取 SPLK-1004（Splunk Core Certified Advanced Power User），深入学习高级 SPL、CIM 数据模型加速和复杂搜索优化，适合 SOC 分析师或数据分析师；(3) 专业方向：获得基础认证后可以进入 SPLK-2001（Enterprise Security Admin）等专业领域认证。在就业市场上，SPLK-1002 持证者的岗位包括 Splunk 分析师、SOC 分析师和 IT 运维分析师，薪资通常比未认证人员高 15-25%。

SPLK-1002 考试中的 Lookups 和 Data Models 怎么准备？

Lookups（查找表）和 Data Models（数据模型）是 SPLK-1002 的重要考点，建议重点准备：(1) Lookups 需要掌握：CSV 查找文件的上传和配置、lookup 命令的语法（| lookup lookup_name field1 OUTPUT field2）、自动查找（Automatic Lookups）的设置方式、输入查找和输出查找的区别；(2) Data Models 需要掌握：数据模型的三种数据集类型（Events、Searches、Transactions）、如何通过 Pivot 界面创建可视化而无需编写 SPL、数据模型加速（Data Model Acceleration）的概念和用途、| datamodel 和 | tstats 命令的基本使用；(3) CIM（Common Information Model）需要理解其标准化字段命名的目的，以及 CIM Add-on 如何将不同数据源映射到统一的数据模型。动手在 Splunk 中创建查找表和数据模型是最有效的学习方式。

We Accept

关于公司

关于我们元宇宙课堂新闻资讯匠人工作成为导师匠人导师联系我们匠人商店J3.Club

匠人资源

工作内推匠人活动 1对1私教行业白皮书线上学习平台面试中心分享面试经验 Internship 会员中心

AI 工具

AI 工具箱考证匠 Cert Master 求职匠 Job Hunter 牛小匠 UniMate AI

AI 学习方向

全部学习方向 AI Engineer Context Engineering Vibe Coding Prompt Master AI Builder AI 产品经理 Python 入门

AI 应用提效

AI 办公提效 AI 数据分析 AI 财务 AI 内容创作 AI 视觉创作前端开发 Hermes Agent OpenClaw 本地智能体

大学资源

墨尔本大学昆士兰大学新南威尔士大学悉尼大学莫那什大学阿德莱德大学 RMIT QUT UTS

少儿 AI 教育

Airbotix 少儿 AI 编程澳洲家长实用资料库 NAPLAN 成绩单怎么看 My School 学校数据指南悉尼私校学费 2026 少儿编程课程与训练营

移民服务

澳洲移民技术移民189/190/491 雇主担保482/186/494 投资移民188/888 英国移民美国移民加拿大移民

企业合作

P3职业孵化器 Enterprise (EN)企业培训实习合作招聘合作申请合作

求职代理

岗位代投职位监控 LinkedIn代运营 LinkedIn人脉代加了解P3项目

匠人支持

FAQs Terms & Conditions Privacy Policy Cancellation & Refund Policy Site map

Top Categories

Web全栈班 DevOps项目班数据工程全栈班数据分析项目班编程入门班 Business Analyst实习算法集训营

求职就业

BA和产品经理实习数据科学实习数据分析实习 Marketing实习简历修改面试指导导师指导VIP

地址

Level 10b, 144 Edward Street, Brisbane CBD(Headquarter)

Level 2, 171 La Trobe St, Melbourne VIC 3000

四川省成都市武侯区桂溪街道天府大道中段500号D5东方希望天祥广场B座45A13号

Business Hub, 155 Waymouth St, Adelaide SA 5000

联系方式

hello@jiangren.com.au 0421-672-555

Disclaimer

JR Academy acknowledges Traditional Owners of Country throughout Australia and recognises the continuing connection to lands, waters and communities. We pay our respect to Aboriginal and Torres Strait Islander cultures; and to Elders past and present. Aboriginal and Torres Strait Islander peoples should be aware that this website may contain images or names of people who have since passed away.

ABN 26621887572

We Accept

关于公司

关于我们元宇宙课堂新闻资讯匠人工作成为导师匠人导师联系我们匠人商店J3.Club

匠人资源

工作内推匠人活动 1对1私教行业白皮书线上学习平台面试中心分享面试经验 Internship 会员中心

AI 工具

AI 工具箱考证匠 Cert Master 求职匠 Job Hunter 牛小匠 UniMate AI

AI 学习方向

全部学习方向 AI Engineer Context Engineering Vibe Coding Prompt Master AI Builder AI 产品经理 Python 入门

AI 应用提效

AI 办公提效 AI 数据分析 AI 财务 AI 内容创作 AI 视觉创作前端开发 Hermes Agent OpenClaw 本地智能体

大学资源

墨尔本大学昆士兰大学新南威尔士大学悉尼大学莫那什大学阿德莱德大学 RMIT QUT UTS

少儿 AI 教育

Airbotix 少儿 AI 编程澳洲家长实用资料库 NAPLAN 成绩单怎么看 My School 学校数据指南悉尼私校学费 2026 少儿编程课程与训练营

移民服务

澳洲移民技术移民189/190/491 雇主担保482/186/494 投资移民188/888 英国移民美国移民加拿大移民

企业合作

P3职业孵化器 Enterprise (EN)企业培训实习合作招聘合作申请合作

求职代理

岗位代投职位监控 LinkedIn代运营 LinkedIn人脉代加了解P3项目

匠人支持

FAQs Terms & Conditions Privacy Policy Cancellation & Refund Policy Site map

Top Categories

Web全栈班 DevOps项目班数据工程全栈班数据分析项目班编程入门班 Business Analyst实习算法集训营

求职就业

BA和产品经理实习数据科学实习数据分析实习 Marketing实习简历修改面试指导导师指导VIP

地址

Level 10b, 144 Edward Street, Brisbane CBD(Headquarter)

Level 2, 171 La Trobe St, Melbourne VIC 3000

四川省成都市武侯区桂溪街道天府大道中段500号D5东方希望天祥广场B座45A13号

Business Hub, 155 Waymouth St, Adelaide SA 5000

联系方式

hello@jiangren.com.au 0421-672-555

Disclaimer

ABN 26621887572

其他助理级📊 数据

Splunk Core Certified Power User

验证 Splunk 高级搜索命令、知识对象管理、Lookup 查找表、数据模型与 CIM 规范化等进阶技能，是从基础用户迈向 Splunk 专家的关键认证。

开始刷题查看学习路径

单次题量

179

题库总量

90m

考试时长

70/100

及格分

一句话定论 · 看情况

Splunk Power User 是 SOC 分析师和 Splunk shop IT 运维的"进阶门票"，非 Splunk 栈的公司没必要考。

这张认证到底考什么

先把考试形式、适合人群、备考时长和学习范围讲清楚，再决定要不要投入时间。

Splunk Core Certified Power User（SPLK-1002）是 Splunk 认证体系的第二级，承上启下 — 上接免费的 SPLK-1001 User，下接 SPLK-1003 Admin 和 SPLK-1004 Advanced Power User。官方要求必须先通过 SPLK-1001 才能报考 SPLK-1002，这点和 AWS/Azure 的认证不同，Splunk 的 path 是强制递进的。

考试形式：65 道题，57 分钟，70% 通过，费用 130 美元（2024 年 Splunk 从原来的 150 美元降价到 130，配合 SPLK-1001 改免费的整体策略 — Splunk 在主动降低整个认证体系的门槛，为了扩大 Splunk 人才池）。有效期 3 年。

和 SPLK-1001 只考基础 SPL 不同，SPLK-1002 的核心是高级 SPL + 知识对象（Knowledge Objects）。具体来说：eval 函数（if/case/coalesce/match/replace）、where 子句、subsearch 子搜索、rex/regex 正则字段提取、stats vs eventstats vs streamstats 的差异、lookup（CSV 和 KV Store 两种）、自动 lookup、Event Types、Tags、Macros、Workflow Actions、Data Models、以及 CIM（Common Information Model）数据规范化。这是一张必须动手才能考过的证 — 光看视频做不到。

2024 年 Cisco 以 280 亿美元收购 Splunk，是 Cisco 历史上最大的收购。短期内 Splunk 在 Fortune 500、大型金融、电信和政府机构的 SIEM 市场地位稳固，长期则要看 Cisco 怎么整合 Splunk 和自家的 XDR、ThousandEyes。对考生的现实影响是：未来 2-3 年 SPLK-1002 依然是 Splunk 岗位的标配，但 3-5 年后的走向有不确定性。

一句话判断：你所在的（或想去的）公司用 Splunk ES 做 SOC，或者用 Splunk 做企业日志平台 — 这张证必考；不用 Splunk 的公司，这张证对你帮助很小。

你会反复碰到的核心服务

eval 函数与 where 子句高级用法rex / regex 正则表达式字段提取subsearch 子搜索Event Types（事件类型）与 Tags（标签）Macros（宏）创建与参数传递Lookup 查找表（CSV / KV Store）Data Models（数据模型）与 Pivot 报表CIM 通用信息模型规范化mvexpand / mvcount 多值字段处理Workflow Actions（工作流操作）

学完以后你能带走什么

自信通过 Splunk Core Certified Power User SPLK-1002 认证
掌握 eval、rex、subsearch 等高级 SPL 命令的实际应用
能够独立创建和管理知识对象（宏、事件类型、查找表）
理解 CIM 数据规范化原理，为 ES 安全分析打好基础

考试详情

考试代码

SPLK-1002

发证机构

其他认证机构

时长

90 分钟

题目数

65 题

及格分

70/100

有效期

3 年

题型

single-choice、multiple-choice

考试语言

English

官方页面

打开官方页面

适合谁考

适合人群

已持有 SPLK-1001 认证，准备晋级 Power User 的 Splunk 用户
SOC 分析师和安全工程师，需要构建复杂 SPL 关联查询
数据分析师和 Splunk 报表开发人员，需要深入掌握数据模型
Splunk 知识对象管理员（事件类型、宏、查找表维护）

开始前最好先有

已通过 SPLK-1001 Splunk Core Certified User 认证（官方前提要求）
熟悉基础 SPL 搜索命令（stats/chart/top 等）
3-6 个月以上 Splunk 搜索和报表创建实际经验

值不值得考？职业价值

Splunk SPLK-1002 持证人的薪资区间、对应岗位、以及真实的职业影响。

澳洲

$100K-155KAUD

美国

$110K-175KUSD

中国

¥250K-500KCNY

新加坡

$85K-140KSGD

SOC Analyst (Tier 2/3)Splunk Power UserSplunk DeveloperSIEM EngineerSecurity AnalystThreat Detection EngineerIT Operations AnalystObservability Engineer安全运营分析师日志分析工程师

谁最该考这张证

已经在 Splunk shop 的 SOC Tier 1 想升 Tier 2：Tier 1 看 alert 就够了，Tier 2 要会自己写 SPL 做 threat hunting、构建 correlation search、维护公司的 Macro 和 Lookup 库。SPLK-1002 的知识点和 Tier 2 日常工作高度重合。澳洲四大行（CBA、NAB、Westpac、ANZ）的 SOC 升 Tier 2 几乎都会要求 SPLK-1002 或同等经验。
Splunk 开发人员 / 知识对象管理员：专门负责维护公司 Splunk 的 Macros、Event Types、Data Models、CIM 映射的角色。这是在大型 Splunk 部署里一个非常实在的岗位，美国市场薪资可以到 140-170k USD。
转型 Splunk Admin 的前置要求：SPLK-1003 Enterprise Admin 虽然不强制 SPLK-1002，但实际上 Admin 岗位面试一定会问高级 SPL 和知识对象，Power User 的知识是做 Admin 的必备基础。

谁不需要考

在 Datadog / Elastic / Splunk 之外栈的公司：eval/rex/Data Model/CIM 这些知识迁移到其他 SIEM 完全不能用。
SPLK-1001 刚过就想一口气考完：Power User 考点密度很大，没有 3-6 个月 Splunk 实操经验直接上很痛苦。
只看 Splunk 仪表板的被动用户：如果你工作中不需要自己写 SPL，只是看别人做好的 dashboard，这张证对日常工作没帮助。

薪资的真相：SPLK-1002 对薪资的加成是"岗位层级跃升"，而不是"基础工资 +5%"。拿到 Power User + 有实际项目经验后，你从 SOC Tier 1（AUD 85-100k）跨到 Tier 2 或 Splunk Developer（AUD 120-155k），这个跨度是 20-40%，但前提是你真的能写出高质量的 SPL 和 Data Model，不是"只有证"。在美国市场，Splunk 专业岗位（Splunk Developer / Splunk Architect）普遍比通用 SIEM 岗位高 10-20%，因为 Splunk 人才相对稀缺。

Cisco 收购的长期影响：Cisco 正在把 Splunk 整合进自己的 XDR 产品线，未来 Splunk 的定价和客户结构可能向 Cisco 现有客户倾斜。对 SPLK-1002 持证者来说短期是利好（Cisco 渠道会带来更多 Splunk 项目），长期则要观察 Splunk 是否还会作为独立产品存在。

备考节奏

有 AWS 实操经验

3-5 周

零基础切入

6-10 周

建议日投入

1-2 小时/天

学习路径预览

3 章

高级搜索命令与字段提取

40 min

知识对象管理、Lookup 与数据模型

120 min

模拟考试：Power User 全域综合测试

100 min

分阶段备考路径

过来人总结的分阶段备考节奏，按周拆分，不是空话。

第一阶段：确认 SPLK-1001 已过 + 搭实验环境（2-3 天）

SPLK-1001 是官方硬性前置，没过先去考 — 现在免费，没有理由不考。环境上建议直接装 Splunk Enterprise Free License（每天 500MB，永久免费）到本地 VM 或 WSL，或者用 Splunk Cloud Free Trial 14 天。导入 tutorialdata.zip 和 Buttercup Games 两份官方数据集。Power User 的每一个考点都要在真环境里练，光看书 100% 过不了。

第二阶段：刷 Splunk Fundamentals 2 课程（1-2 周）

Splunk 官方的 Fundamentals 2 课程目前也免费（登录 Splunk Training），约 12 小时视频，几乎一对一覆盖 SPLK-1002 考纲。重点章节：Beyond Search Fundamentals（eval/where/subsearch）、Transforming Commands（stats/chart/timechart 的高级用法）、Creating and Managing Fields（rex/regex 提取、Field Aliases、Calculated Fields）、Creating Tags and Event Types、Creating and Using Macros、Creating and Using Workflow Actions、Creating Data Models。每看一节立刻在自己环境里复现。

第三阶段：SPL 高级命令 + 知识对象动手练（2-3 周）

这是 Power User 备考的核心。具体任务：(1) eval 的 10+ 个常用函数（if/case/coalesce/match/replace/round/tostring/strftime/strptime/len）每个至少写 3 个例子；(2) 用 rex 命名捕获组从 Apache 日志里提取 URI、status、response_time，对比 sed 模式替换；(3) 上传一份 CSV（比如 product_category.csv）做静态 lookup，再配置一个 automatic lookup；(4) 自己创建一个带参数的 Macro，比如 `top_errors(count)` 返回 top N 个错误；(5) 完整走一遍 Data Model 创建 → Pivot 生成报表 → 加速 Data Model 的流程。这些做完才算真的会 Power User。

第四阶段：CIM 规范化 + 模考（1 周）

CIM 是很多人容易忽略的点。理解 CIM 的核心思路：把不同厂商日志的字段名（比如 Cisco ASA 的 src_ip、Palo Alto 的 source_ip、iptables 的 src）统一映射到 CIM 的标准字段 src。装一个 Splunk CIM Add-on 看它的 tags.conf 和 eventtypes.conf 怎么写的。最后两天做模考：JR Academy 的题库刷 1-2 遍 + Splunk 官方 Sample Test，模考稳定 80% 以上再约考试。错题本必做，尤其是 stats vs eventstats vs streamstats 的区别题。

通过者的真实经验

过来人的备考时长、分数、以及踩过的坑。

公司是 Splunk ES + Enterprise Security，从 Tier 1 升 Tier 2 组里要求必须有 SPLK-1002。我前前后后花了 5 周，其中 3 周在自己 Splunk Free 里练 eval 和 Data Model。考试里真的有场景题问"用 eventstats 还是 streamstats"，幸亏我提前把两个命令跑过对比，不然会懵。

Jason K.83%

Melbourne SOC Tier 2（金融） · 备考 5 周

日常工作就是给 SOC 团队写 Macros 和维护 Lookup 库，考试内容基本就是日常工作。但 CIM 那块我平时用得少，花了整整 2 天把 CIM Add-on 的配置文件翻了一遍才搞懂。强烈建议所有人不要跳过 CIM，我看到至少 6-8 道题直接考 CIM 字段映射。

Rita S.88%

Splunk Developer（美国大型银行） · 备考 4 周

SPLK-1001 过了之后隔了 3 个月才考 1002，事实证明间隔太久不是好事，很多 SPL 语法都忘了。Power User 最大的坑是 rex 正则 — 我以前没写过命名捕获组，光这一项就练了一周。另外 Macro 的参数传递语法一定要在真环境里敲一遍，光看文档记不住。

Wei L.76%

IT Ops 转 SOC（北京某电信） · 备考 8 周

同赛道认证对比

	Splunk SPLK-1002	Splunk SPLK-1001	CompTIA CySA+
机构	其他	其他	CompTIA
级别	助理级	助理级	专业级
考试费	$0	$0	$404
时长	90 min	90 min	165 min
单次考试题量	65	65	85
有效期	3 年	3 年	3 年

备考技巧与常见失误

💡

**65 题 / 57 分钟，平均 52 秒一题**：比 SPLK-1001 更紧张，长题干的场景题要快速抓关键词。看到 SPL 代码题先找管道符之间的逻辑。

💡

**transforming command 位置规则依然重要**：stats/chart/timechart/top/rare 只能在搜索末尾附近。如果选项里出现在搜索中段的，基本是干扰项。

💡

**"不修改原始事件"优先选 Field Alias / Calculated Field / Lookup**：Splunk 的 schema on read 原则 — 任何涉及修改 _raw 的选项都是错的。

💡

**看到"参数化可复用 SPL 片段"选 Macro，不是 Saved Search**：Macro 支持参数传递语法 `macro_name(arg1)`，Saved Search 是固定的。

💡

**CIM 相关题通常问字段映射或 datamodel 命令**：熟悉 Network_Traffic、Authentication、Web 这三个最常见的 CIM 模型及其核心字段（src、dest、user、action）。

💡

**费用和约考**：考试费 $130 USD（Pearson VUE），可以在线监考或线下考点。Splunk Training 登录后 → Certification → Schedule Exam → 跳转到 Pearson VUE。挂了 14 天后可以重考，重考还是全价，所以第一次尽量准备充分。

💡

**考后立即出结果**：交卷屏幕直接显示 Pass/Fail 和各考试域的百分比，没通过可以看到自己哪一块薄弱，方便下次针对性补。

⚠️

**搞混 Lookup 用 CSV 还是 KV Store** — CSV lookup 适合静态、小规模（几万行以下）、只读的参考表，比如 product_category、country_code。KV Store lookup 适合需要频繁写入更新、多 search head 共享状态的场景，比如 threat intel feed、用户会话跟踪。考题会问"需要从多个 search head 同时更新的查找表用哪种"，答案是 KV Store，不是 CSV。

⚠️

**eval 函数里的引号和括号写错** — eval 的字符串字面量必须用双引号（`eval status="error"`），字段引用不加引号（`eval new_field=status`），函数嵌套容易漏括号。最常见的错误：`eval result=if(status="200","ok","fail")` 和 `eval result=case(status="200","ok",status="404","not_found",1=1,"other")`。考试一定会有一两道题直接给 eval 语句让你判断输出，括号错位的选项是常见干扰项。

⚠️

**stats vs eventstats vs streamstats 分不清** — stats 聚合后把原始事件丢掉只保留聚合结果；eventstats 聚合后把结果作为新字段追加回每一个原始事件；streamstats 逐事件累计计算（running total）。考试最常见的场景：需要"在每一行旁边显示这个 host 的总数"用 eventstats，需要"累计计算前 N 行之和"用 streamstats。记不清就在自己 Splunk 里跑一次对比。

⚠️

**时间修饰符语法错误** — `earliest=-24h@h latest=@h` 表示"从 24 小时前的整点到当前整点"，`@h` 是 snap-to-hour。常见错误：写成 `earliest=-24hours` 或 `earliest=-1d latest=0`（latest=0 是非法的）。另一个坑：`relative_time(now(), "-1d@d")` 在 eval 里用来生成相对时间，容易和搜索头部的时间修饰符混淆。

⚠️

**Knowledge Object 的权限搞不清** — Splunk 的知识对象有三级权限：Private（仅创建者可见）、App（在当前 app 内所有人可见）、Global（所有 app 可见）。默认新建是 Private，这会导致"同事看不到我做的 Event Type"。考题会问"为什么同事的 search 里 eventtype 不生效"，答案通常是权限没改到 App 或 Global。这个坑很多人踩。

⚠️

**以为 Data Model 必须加速才能用** — Data Model 不加速也能直接用 Pivot 做查询，加速（Data Model Acceleration）只是让查询变快（通过预计算 tsidx 文件）。考题会问"加速的前提条件"——答案包括：只能加速 Accelerated-Compatible Data Model、需要管理员权限、会占用额外磁盘空间。新手容易误以为"不加速 Data Model 就用不了"。

⚠️

**忽略 rex 命令的 max_match 参数** — `| rex field=_raw "(?<ip>\d+\.\d+\.\d+\.\d+)" max_match=0` 里的 `max_match=0` 表示提取所有匹配（返回多值字段），默认是 1 只取第一个。考试里有日志行里有多个 IP、问如何全部提取的场景题。

常见问题

如果你准备考 Splunk SPLK-1002，先从真题型练习开始。

179 道练习题、章节学习路径、模考、错题复盘和 AI 导师都在备考页里。

进入备考页

$29 起 · 前 2 章可免费试学

学员评价

评价加载中…

你可能顺手也会看这些

Splunk SPLK-1001

其他 · 助理级

$065 题90 min

CompTIA CySA+

CompTIA · 专业级

$40485 题165 min