Question 1

SPLK-1004 考试难度如何？和 SPLK-1002 相比提升了多少？

Accepted Answer

SPLK-1004（Splunk Core Certified Advanced Power User）是 Splunk 搜索分析方向的最高级别认证，共 70 道题，63 分钟完成，通过分数线 70%。难度比 SPLK-1002 有质的飞跃：(1) 要求精通高级 SPL 命令和复杂搜索编写，包括多层子搜索、join、append、事务分析等；(2) CIM（Common Information Model）从概念理解升级到实际应用和故障排查；(3) 数据模型加速（Data Model Acceleration）的配置和优化是核心考点；(4) 需要理解搜索性能优化策略，包括 tstats、summary indexing 和加速报表的使用场景；(5) 复杂的正则表达式和字段提取。建议至少有 1 年以上 Splunk Power User 实际工作经验。

Question 2

SPLK-1004 考试中 CIM 相关内容占多大比重？需要掌握到什么程度？

Accepted Answer

CIM（Common Information Model）及相关数据规范化内容约占 SPLK-1004 考试的 25-30%，是最重要的考点之一。需要掌握：(1) CIM 的核心目的：将来自不同供应商和格式的数据规范化为统一的字段命名和数据模型，实现跨数据源的统一搜索和关联分析；(2) CIM 数据模型的主要类别：Authentication、Network Traffic、Web、Malware、Intrusion Detection 等，了解每个模型的关键字段；(3) CIM Add-on 的工作原理：通过 props.conf 和 transforms.conf 将原始数据字段映射到 CIM 标准字段（如将 src_ip 映射为 src）；(4) 使用 | datamodel 命令查询数据模型、使用 Pivot 界面创建报表；(5) 验证数据是否符合 CIM 规范的方法和常见问题排查。

Question 3

SPLK-1004 考试中数据模型加速（Data Model Acceleration）怎么准备？

Accepted Answer

数据模型加速是 SPLK-1004 的核心考点，约占 15-20%。需要掌握：(1) 加速原理：DMA 通过在后台自动生成 TSIDX 文件来预计算数据模型的统计结果，使 | tstats 命令可以在不扫描原始数据的情况下快速返回结果；(2) 启用和配置：在数据模型设置中启用加速并设置加速时间范围（Summary Range），理解加速构建的资源消耗和调度；(3) | tstats 命令：这是查询加速数据模型的专用命令，语法与 stats 不同（使用 from datamodel=ModelName.DatasetName），需要熟练掌握其过滤和统计语法；(4) 加速 vs 报表加速（Report Acceleration）vs 摘要索引（Summary Indexing）的区别和适用场景；(5) 常见问题：加速构建延迟、数据覆盖不完整的排查方法。

Question 4

SPLK-1004 考试需要掌握哪些高级 SPL 命令？

Accepted Answer

除了 SPLK-1002 的所有命令外，SPLK-1004 还需要精通以下高级 SPL：(1) 子搜索和关联：subsearch、join（inner/outer/left）、append、appendcols 的语法和性能影响；(2) 事务分析：transaction 命令的参数（maxspan、maxpause、startswith、endswith），与 stats 命令在性能上的对比；(3) 多值字段处理：mvexpand、mvzip、mvappend、mvfilter、mvdedup 等命令的精确使用；(4) 高级 eval 函数：case()、coalesce()、mvfilter()、if()、match()、replace() 等；(5) 搜索优化命令：tstats（查询加速数据模型）、mcollect/meventcollect（写入指标索引）、collect（写入摘要索引）；(6) 正则表达式：rex 命令中的命名捕获组、sed 模式、regex 命令的过滤用法。考试侧重命令的实际应用场景。

Question 5

SPLK-1004 认证的含金量如何？在就业市场上的价值？

Accepted Answer

SPLK-1004 是 Splunk 搜索分析方向的顶级认证，含金量很高：(1) 在 Splunk 认证体系中，仅次于 Splunk Enterprise Certified Architect，是证明 SPL 高级技能的最权威认证；(2) 持证者通常担任高级 Splunk 分析师、Splunk 工程师、SOC 高级分析师或安全数据分析师等角色；(3) 在澳洲和北美市场，SPLK-1004 持证者的年薪通常在 $100K-$150K AUD 之间，比仅持有 SPLK-1002 的人高 20-30%；(4) 特别在安全运营（SecOps）和 IT 运维（ITOps）领域，能够编写高效的复杂 SPL 查询和构建数据模型是核心竞争力；(5) 很多企业在招聘 Splunk 专家时将 SPLK-1004 列为优先考虑条件。认证有效期 3 年。

Question 6

SPLK-1004 考试中搜索性能优化是考点吗？需要了解什么？

Accepted Answer

是的，搜索性能优化是 SPLK-1004 的重要考点，约占 10-15%。需要掌握：(1) 搜索优化原则：尽早过滤数据（Time range > Index > Source/Sourcetype > Fields），减少需要处理的事件数量；(2) Streaming vs Non-streaming 命令：理解哪些命令可以在 Indexer 上执行（distributed streaming），哪些必须在 Search Head 上执行，以及这对性能的影响；(3) | tstats vs | stats：tstats 查询 TSIDX 文件（加速数据模型或索引时字段）速度极快，适合大数据量场景；(4) Summary Indexing：使用 | collect 命令将预计算结果存入摘要索引，适用于需要长期趋势分析的场景；(5) Report Acceleration：自动缓存报表结果，适用于频繁运行的固定时间范围报表；(6) Job Inspector 的使用：分析搜索的各阶段耗时，找出性能瓶颈。

	Splunk SPLK-1004	Splunk SPLK-1002	Splunk SPLK-1003
机构	其他	其他	其他
级别	助理级	助理级	助理级
考试费	$0	$0	$0
时长	90 min	90 min	90 min
单次考试题量	63	65	65
有效期	3 年	3 年	3 年

Splunk Core Certified Advanced Power User

这张认证到底考什么

你会反复碰到的核心服务

学完以后你能带走什么

考试详情

适合谁考

适合人群

开始前最好先有

值不值得考？职业价值

备考节奏

有 AWS 实操经验

零基础切入

建议日投入

学习路径预览

分阶段备考路径

第一阶段：CIM 和数据模型（2 周）

第二阶段：高级 SPL 和性能优化（2-3 周）

第三阶段：模考冲刺（1-2 周）

通过者的真实经验

同赛道认证对比

备考技巧与常见失误

常见问题

如果你准备考 Splunk SPLK-1004，先从真题型练习开始。

学员评价

你可能顺手也会看这些

Splunk SPLK-1002

Splunk SPLK-1003

Splunk SPLK-1001