先了解这张认证
Splunk Core Certified User（SPLK-1001）是 Splunk 官方认证体系的第一张证，也是整个体系的地基。最重要的变化是 2024 年 Splunk 把这张证改成了完全免费 — 以前考一次 $130 USD，现在通过 Splunk 官方训练平台注册就能零成本参加。Splunk 这么做的原因很直接：扩大 Splunk 人才池，降低企业引入 Splunk 的用人门槛。对考生来说这意味着你几乎没有理由不考。
考试形式：约 57 道题，57 分钟，70% 通过。题目几乎全部围绕 SPL（Search Processing Language） 展开 — 基础搜索语法、字段提取、time range modifier、top/rare/stats/chart/timechart 这些 transforming command、lookup 表的使用、以及 dashboard 和 alert 的基础配置。不考 eval、rex、正则、数据模型、CIM 这些高级内容，那些是 SPLK-1002 Power User 的范围。认证有效期 3 年。
这张证的含金量完全取决于你所在的技术栈。2024 年 Cisco 以 280 亿美元收购 Splunk，这是 Cisco 历史上最大的收购案，也直接说明 Splunk 在企业 SIEM 和 observability 市场的地位 — 它依然是 Fortune 500 SOC、大型金融、电信、政府机构的事实标准。但另一方面，Datadog、Elastic、Grafana + Loki 这些竞争对手在云原生和中小企业市场正在快速蚕食 Splunk 的份额。如果你未来的公司已经从 Splunk 迁到 Datadog，这张证对你帮助有限。
换句话说：SPLK-1001 是一张"跟着客户走"的证。客户用 Splunk，你就必须会；客户不用 Splunk，它只是简历上一行装饰。
考试档案
- 考试代码
- SPLK-1001
- 发证机构
- 其他
- 题型
- single-choice / multiple-choice
- 考试语言
- English
- 证书有效期
- 3 年
你会学到的技能
学完能做什么
- 自信通过 Splunk Core Certified User SPLK-1001 认证考试
- 掌握 SPL 搜索语言和核心转换命令的实际应用
- 能够独立创建 Splunk 报表和基础仪表板
- 具备进一步备考 SPLK-1002 Power User 的知识基础
适合这样的你
- Splunk 平台初级用户，需要通过官方认证验证使用能力
- IT 运维和安全监控工程师，日常使用 Splunk 分析日志
- 数据分析师和 SOC 初级分析师，需要掌握 Splunk 搜索语言
- 希望进入 Splunk 认证体系的 IT 从业者
开始前需要什么
- 3-6 个月 Splunk 实际使用经验（推荐）
- 基本了解 IT 基础设施概念（日志、服务器、网络）
- 无需先行认证，但建议先完成 Splunk Fundamentals 1 免费课程
一步一步，准备好考试
安排你的备考
- 课程学习时长
- 41h
- 有相关实操经验
- 1-2 周
- 从基础开始
- 3-5 周
- 建议日投入
- 1-1.5h
备考支持
- 182 道练习题，覆盖所有官方考试领域
- AI 智能辅导，精准定位薄弱知识点
- 模拟真实考试环境，限时 57 分钟模拟测试
- 详细中文解析，每道题配合知识点说明
- 进度追踪，查看各领域掌握情况
1. 第一阶段：注册 Splunk 免费环境（3-5 天）
去 splunk.com 下载 Splunk Enterprise Free License（每天可索引 500MB，永久免费），本地装上。或者更快的方式：注册 Splunk Cloud Free Trial（14 天全功能）。必须动手，不动手过不了 — 因为考试有大量界面操作和 SPL 输出结果的识别题。导入官方示例数据 tutorialdata.zip 和 Buttercup Games 数据集，这两份数据是 Splunk 官方教学的标配，考试里不少场景都长这样。
2. 第二阶段：刷完 Splunk Fundamentals 1（1 周）
Splunk 官方的 Fundamentals 1 课程现在完全免费（splunk.com/en_us/training），约 10 小时视频，直接覆盖 SPLK-1001 考纲的 80%。重点章节：Introduction to Splunk（组件 Indexer/Search Head/Forwarder）、Basic Searching、Using Fields、Creating Reports and Dashboards。每看完一节立刻在你的 Splunk 实例里复现操作一遍，不要光看视频。
3. 第三阶段：SPL 命令手动练习（1-2 周）
把下面这组命令每一个都在自己的 Splunk 里跑一遍：search、fields、table、rename、dedup、sort、head/tail、top、rare、stats、chart、timechart、lookup。特别要理解 stats vs chart vs timechart 的输出差异 — 这是高频考点。自己出题自己答：比如"找出过去 24 小时里访问量 top 10 的 URL"、"按小时统计每个 product_id 的销售额"，写出 SPL 并验证。
4. 第四阶段：模考 + 官方样题（3-5 天）
JR Academy 的 206 道题刷 1-2 遍，错题本必须做。Splunk 官方也提供 Sample Test（约 20 题），一定要做，题型和真考最接近。模考稳定 80% 以上再约考试。考试前一天重点复习：pipe 的执行顺序、时间范围修饰符（earliest/latest）、字段提取和 lookup 的区别、dashboard 的保存流程。
这张认证的职业价值
谁最该考这张证
-
SOC Tier 1 / Tier 2 分析师：几乎所有用 Splunk ES（Enterprise Security）的 SOC 岗位 JD 里都会写 "Splunk experience required"。SPLK-1001 是你向 HR 证明"我真的会用 Splunk 搜日志"的最低门槛。澳洲、美国大型银行（CBA、Westpac、JPMorgan）的 SOC 团队几乎 100% 用 Splunk。
-
IT 运维 / NOC 工程师：如果你所在公司用 Splunk 做日志聚合和故障排查，这张证帮你从"只会看 Kibana-like 界面"升级到"能写 SPL 自助排查"。日常工作效率翻倍。
-
转行安全的传统 IT 人员：SOC 是进入网络安全最常见的入门岗位，而 SOC 的日常工具 80% 时间都在 Splunk 里。SPLK-1001 + CompTIA Security+ 或 CySA+ 是转行 SOC 的黄金组合。
谁不需要考
- 在 Datadog / Elastic / Grafana 栈的公司：SPL 语法和这些工具的查询语言完全不同，知识迁移价值低。
- 纯开发岗位：后端/前端工程师日常看日志可能就用 kubectl logs 或 Datadog，Splunk 的深度搜索技能用不上。
- 想做云原生 observability：OpenTelemetry + Grafana + Loki + Tempo 这套栈才是未来，Splunk 的认证体系对这条路帮助不大。
薪资的真相：Splunk 技能本身不直接加薪，它是一项"特定岗位的必备门票"。在一个 Splunk shop 里，SOC 分析师起薪 AUD 85k，有 2-3 年 Splunk 经验能做到 120k+。但如果你跳到一家用 Datadog 的公司，这段经验只能折算成"通用日志分析能力"。
Cisco 收购后的不确定性：Cisco 280 亿美元吞下 Splunk 后，Splunk 的产品路线图和定价策略正在和 Cisco 的 XDR、ThousandEyes 整合。短期内 Splunk 依然主导企业 SIEM 市场，但 3-5 年后的格局有变数。SPLK-1001 作为免费入门证，ROI 依然正向。
- 澳洲
- AUD 85,000 – 135,000
- 美国
- USD 95,000 – 150,000
- 中国
- CNY 200,000 – 400,000
- 新加坡
- SGD 70,000 – 120,000
备考时，做好这些事
- **57 分钟 57 题，平均每题 1 分钟**：不要在任何一道题上卡超过 90 秒。不确定的立刻 Mark，最后回头再看。
- **注意 transforming command 的位置**：transforming command（stats/chart/timechart/top/rare）只能出现在搜索的末尾或倒数第二段，不能穿插在搜索中间。看到选项里 transforming command 出现在管道中段的，基本可以直接排除。
- **默认字段是送分题**：host、source、sourcetype、_time、_raw、index 这 6 个必须记死，考试至少 5 道题直接考这个。
- **看到"不修改原始数据"选 Lookup 或 Field Alias**：Splunk 强调"schema on read"，任何修改原始事件的操作都不对。
- **免费考试约考步骤**：登录 Splunk 训练平台 → 选 SPLK-1001 → 链接到 Pearson VUE → 选在线监考或线下考点。在线监考要提前 15 分钟登录测试摄像头和网络。
- **考完立刻拿结果**：交卷后屏幕直接显示 Pass/Fail 和各领域得分。挂了有 14 天等待期才能重考，但因为免费，再考一次没压力。
这些误区要避开
- **搞不清 pipe 的执行顺序** — SPL 是从左到右顺序执行的。`| stats count by host | where count > 100` 和 `| where count > 100 | stats count by host` 结果完全不同。考试至少 3-5 道题卡这个。
- **stats vs chart vs timechart 分不清** — stats 产出表格、chart 产出两维交叉表（第一个 by 字段作为行、第二个作为列）、timechart 强制按 _time 作为 X 轴。考前必须在自己的 Splunk 里把三个命令用同一份数据跑一遍对比输出。
- **Lookup 和字段提取混淆** — Lookup 是从外部 CSV/KV 文件补充字段，字段提取是从原始日志文本里解析字段。考试会问"如何给现有事件添加地理位置信息"这种，答案是 lookup，不是 extraction。
- **时间范围修饰符语法错误** — `earliest=-24h latest=now` 是正确的，`earliest=-24hours` 是错的。时间修饰符必须放在搜索命令的开头，不能放在 pipe 后面。
- **以为考 eval 和 rex** — 这俩是 SPLK-1002 Power User 的考点，SPLK-1001 不考。别浪费时间学 eval 的复杂函数和正则表达式。
- **不在真实 Splunk 里练** — 这是最大的坑。SPLK-1001 有大量"下图是 SPL 搜索结果，哪个选项描述正确"的题，纯看书完全不行。必须动手。
报名之前，你可能想问
SPLK-1001 考试难度如何？通过率是多少？需要多长时间准备？
SPLK-1001（Splunk Core Certified User）是 Splunk 认证体系的入门级考试，共 65 道题，57 分钟完成，通过分数线 70%（约需答对 46 题）。相比高级认证，难度适中，但不可掉以轻心。主要难点在于：(1) 需要熟悉 Splunk Web 界面操作，包括搜索栏、时间范围选择器和字段侧边栏的使用；(2) 基础 SPL 搜索命令的语法和参数容易混淆（如 stats vs chart vs timechart 的区别）；(3) 报表和仪表板的创建流程是高频考点。建议有 3-6 个月 Splunk 使用经验的人参加，准备时间约 2-4 周。
SPLK-1001 考试涉及哪些核心知识领域？重点考什么？
考试主要涵盖以下核心领域：(1) Splunk 基础组件：理解 Indexer、Search Head、Forwarder 的角色和数据流转过程；(2) 基本搜索：使用搜索栏执行搜索、使用布尔运算符（AND、OR、NOT）、通配符和关键字搜索；(3) 字段操作：理解默认字段（host、source、sourcetype）、使用字段进行过滤和统计；(4) 搜索语言基础：使用 transforming commands（如 top、rare、stats、chart）创建统计结果；(5) 报表和仪表板：创建保存的搜索、报表和基本仪表板面板；(6) 知识对象：了解事件类型、标签、字段别名的基本概念。其中搜索和字段操作约占 50% 以上。
SPLK-1001 和 SPLK-1002 有什么区别？应该先考哪个？
SPLK-1001（Core Certified User）是入门级认证，SPLK-1002（Core Certified Power User）是进阶认证。主要区别：(1) SPLK-1001 考察基本搜索、字段使用和简单报表创建；SPLK-1002 则深入考察高级搜索命令、查找表（lookups）、数据模型和 CIM 规范化；(2) SPLK-1001 要求能使用 Splunk Web 完成日常搜索任务；SPLK-1002 要求能创建复杂的 SPL 搜索并理解搜索优化；(3) 必须先通过 SPLK-1001 才能报考 SPLK-1002（官方前提要求）。建议按顺序考取，SPLK-1001 的知识是 SPLK-1002 的基础。
没有 Splunk 实际使用经验可以通过 SPLK-1001 吗？如何搭建练习环境？
纯理论学习很难通过考试，因为很多题目考察的是实际操作流程和界面细节。搭建练习环境的方式：(1) Splunk Free License：Splunk 提供免费版本，每天可索引 500MB 数据，功能足够学习和练习，直接从 splunk.com 下载安装；(2) Splunk 官方提供 Splunk Fundamentals 1 免费培训课程（约 10 小时），包含实验环境；(3) 可以导入示例数据（如 Splunk 的 tutorialdata.zip）进行搜索练习；(4) Buttercup Games 是官方练习数据集，考试中很多示例基于类似的电商日志数据。建议至少花 20-30 小时动手操作。
SPLK-1001 考试可以在线考吗？考试形式是怎样的？
SPLK-1001 可以在线监考（Pearson VUE Online Proctoring）或在 Pearson VUE 考试中心现场考试。考试细节：(1) 65 道单选和多选题，时间 57 分钟，平均每题约 53 秒；(2) 多选题会提示需要选择几个答案（如"Choose 2"）；(3) 考试费用约 $130 USD；(4) 认证有效期 3 年，到期后需要通过最新版考试续期；(5) 在线考试需要稳定的网络、摄像头和麦克风，考试过程中有真人监考。考试当天建议提前 15 分钟登录系统检查环境。未通过的话有 14 天等待期才能重考。
SPLK-1001 考试中 SPL 搜索命令是必考内容吗？需要掌握到什么程度？
SPL（Search Processing Language）是 SPLK-1001 的核心考点，约占考试的 40-50%。需要掌握的程度：(1) 基础搜索命令：fields、table、rename、dedup、sort、head/tail — 需要知道每个命令的语法和用途；(2) 转换命令：top、rare、stats（count、sum、avg、max、min）、chart、timechart — 需要理解它们的输出格式差异；(3) 搜索模式：了解 Fast Mode、Smart Mode、Verbose Mode 的区别和适用场景；(4) 管道符（pipe |）的概念：理解搜索结果如何从一个命令传递到下一个命令；(5) 不需要掌握 eval、rex、regex 等高级命令（这些是 SPLK-1002 的内容）。重点是理解命令的作用而非死记语法。
听听学过的人怎么说
评价加载中…
公司是 Splunk ES shop，入职前两周自学考的。说实话考试本身不难，但如果你没真的在 Splunk 里敲过 SPL，光看视频会死在 stats 和 chart 的输出题上。我练了 3 天 Buttercup Games 数据才搞明白。
Daniel T.
Sydney SOC Tier 1 Analyst · 85% · 3 周
我日常就是在公司 Splunk 里排故障，以为不用准备就能过，结果模考 60% 被打醒。问题是我平时只会 index=prod error | head 100 这种，考试里的 timechart、lookup、dashboard 那些我从来没用过。老老实实刷了 10 天视频才过。
Mei L.
IT Operations Engineer (电信) · 78% · 4 周
拿了 Security+ 之后补的这张证。Splunk Fundamentals 1 + 206 道题 + 一周动手操作就够了。面试的时候提到 SPLK-1001，HR 眼睛亮了 — 她说大部分转行的人简历上就一个 Security+，能证明真的动手过 Splunk 的很少。
Alex Z.
转行 SOC（前 Linux 运维） · 82% · 5 周
从第一章，开始你的备考。
前 2 章免费试学 · 完整备考 $29 起