Splunk 搜索分析方向的天花板认证 — 日常写复杂 SPL 查询的高级分析师考这个有明显价值，初中级用户先考 SPLK-1001/1002。
这张认证到底考什么
先把考试形式、适合人群、备考时长和学习范围讲清楚，再决定要不要投入时间。
SPLK-1004 Splunk Core Certified Advanced Power User 是 Splunk 搜索分析方向的最高级别认证，65 题 / 75 分钟。前置要求：已持有 Splunk Core Certified Power User（SPLK-1002）。
考试核心是 CIM（Common Information Model）数据规范化（约 25%）、数据模型加速和 tstats 命令（约 20%）、高级 SPL 命令（join/transaction/append 约 25%）、搜索性能优化（Summary Indexing/Report Acceleration 约 15%）。
和 SPLK-1002 的区别：1002 考"能用 SPL 做分析"，1004 考"能写出高性能的复杂 SPL 并理解底层机制"。典型难题：给一个跨 3 个 sourcetype 的关联分析需求，问该用 join、append 还是 tstats + datamodel，并解释性能差异。
你会反复碰到的核心服务
学完以后你能带走什么
- 自信通过 Splunk Core Certified Advanced Power User SPLK-1004 认证
- 精通 tstats 命令和数据模型加速，显著提升大数据查询效率
- 能够独立构建复杂关联分析查询（join/transaction/subsearch）
- 具备向 Splunk Enterprise Security 方向进阶的高级技术基础
考试详情
适合谁考
适合人群
- 已持有 SPLK-1002 并希望达到 Splunk 分析方向最高级别的专业人员
- 高级 SOC 分析师，需要构建高效的安全检测 SPL 查询
- Splunk 工程师，负责数据模型设计和搜索性能优化
- 安全数据工程师，需要精通 CIM 规范化和 tstats 加速查询
开始前最好先有
- 已通过 SPLK-1002 Splunk Core Certified Power User 认证
- 1 年以上 Splunk Power User 实际工作经验
- 熟悉 CIM 数据模型和知识对象管理
- 具备基本正则表达式编写能力
值不值得考？职业价值
Splunk SPLK-1004 持证人的薪资区间、对应岗位、以及真实的职业影响。
Advanced Power User 在 Splunk 认证体系中属于"分析方向顶端"，和 Admin/Architect 方向平行。持证者通常是 SOC 团队的高级分析师或 Splunk CoE（Center of Excellence）的技术骨干。
适合考的人：日常工作中写复杂 SPL（多数据源关联、CIM 映射、性能优化）的 Splunk 用户。
不适合考的人：只做基本搜索和 Dashboard 的初级用户 — 先考 SPLK-1002 Power User。
备考节奏
有 AWS 实操经验
零基础切入
建议日投入
学习路径预览
3 章分阶段备考路径
过来人总结的分阶段备考节奏，按周拆分，不是空话。
第一阶段：CIM 和数据模型（2 周）
精读 Splunk CIM 文档，理解 CIM Add-on 的字段映射机制。在自己的 Splunk 环境中用 | datamodel 命令查看已加速的数据模型。练习 | tstats 命令替代 | stats 做加速查询。
第二阶段：高级 SPL 和性能优化（2-3 周）
join vs append vs appendcols 的场景选择和性能差异。transaction 命令的 maxspan/maxpause 参数。Summary Indexing（| collect / | sitop）和 Report Acceleration 的配置和适用场景。Streaming vs Non-streaming 命令的性能影响。
第三阶段：模考冲刺（1-2 周）
做 2-3 套模考，重点关注"给需求选最优 SPL 方案"的题。考试时间紧（65 题 / 75 分钟），每题约 69 秒，需要快速判断。
通过者的真实经验
过来人的备考时长、分数、以及踩过的坑。
tstats 是这个考试的灵魂命令 — 至少 10 道题直接或间接考 tstats。如果平时不用 CIM 数据模型，这部分需要专门花时间补。join 命令的性能问题（大数据集上 join 可能超时）也是高频考点。
同赛道认证对比
| Splunk SPLK-1004 | Splunk SPLK-1002 | Splunk SPLK-1003 | |
|---|---|---|---|
| 机构 | 其他 | 其他 | 其他 |
| 级别 | 助理级 | 助理级 | 助理级 |
| 考试费 | $0 | $0 | $0 |
| 时长 | 90 min | 90 min | 90 min |
| 题量 | 63 | 65 | 65 |
| 有效期 | 3 年 | 3 年 | 3 年 |
备考技巧与常见失误
**不理解 tstats 和 stats 的区别** — tstats 只能查询加速数据模型或 tstat 索引，速度快 10-100 倍但有数据范围限制。考试经常问"什么情况下 tstats 不能用"。
**join 命令滥用** — Splunk 官方不推荐在大数据集上用 join（性能差、有结果数限制）。考试会给场景让你选 join 还是 stats + where 组合。
**忽略 Metrics Index** — mcollect/meventcollect 虽然只占约 5%，但几乎一定出 1-2 题，完全不准备就白丢分。