先了解这张认证
Splunk Enterprise Security Certified Admin（SPLK-3001）是 Splunk 官方针对 Enterprise Security（ES）产品的管理员级认证，考的是 "如何在 ES 上配 Notable Events、写 Correlation Search、维护 Asset/Identity framework、跑 Risk-Based Alerting" 这类 SOC content engineering 的日常工作。注意 ES 是 Splunk 卖得最贵的 premium app（许可是按 indexed GB 额外收费，而不是包含在 Splunk Enterprise 里），客户圈子非常明确：Fortune 500 金融、电信、政府、大型能源公司 — 这也是为什么这张证虽然小众但单价高。
硬性前置：必须先通过 SPLK-1003（Splunk Enterprise Certified Admin）。Pearson VUE 在 schedule 时会强制检查 1003 状态，没过直接拒绝约考 — 这不是建议而是规则。考试形式：70 道单选/多选，57 分钟（Splunk 新版考纲，旧资料会写 90 分钟/65 题，以官方现行版本为准），70% 通过，费用 130 USD，可线上 Pearson VUE 监考，证书有效期 3 年。
考试 6 大 domain（按权重）：(1) Security Monitoring & Notable Events ~22%（Incident Review 页面、Notable 生命周期、suppression、urgency matrix）；(2) Correlation Searches ~20%（新建 correlation search、schedule、throttling、Adaptive Response 的 risk/notable/email/script action）；(3) ES Framework & Architecture ~18%（ES 作为 Splunk app 的安装、datamodel acceleration、CIM 合规性、search head 部署模型）；(4) Threat Intelligence ~15%（TI Framework、TAXII feeds、KVStore lookups、threat_activity 索引）；(5) Risk Analysis ~13%（Risk-Based Alerting 架构、risk index、risk_object / risk_object_type 字段、risk_score 聚合）；(6) Asset & Identity ~12%（asset_lookup / identity_lookup、merge 规则、优先级字段）。
Cisco 收购后的位置：2024 年 Cisco 完成对 Splunk 的 280 亿美元收购，官方口径是 "Splunk ES + Cisco XDR" 双品牌保留 — 这意味着 ES 在 2026-2028 年不会消失，Cisco 还在继续推 Splunk Mission Control 把 ES/SOAR 整合。对 SPLK-3001 的直接影响：认证本身保留，Cisco Partner Program 开始把 Splunk ES 认证纳入 Cisco Security Specialization，持证在 Cisco 生态内价值反而上升。
一句话：你在某个 Splunk ES 用户的 SOC、或在某个 Splunk Partner 做 ES 实施 — 考；你只用 Microsoft Sentinel / QRadar / Elastic SIEM — 别考，技能完全不通用。
考试档案
- 考试代码
- SPLK-3001
- 发证机构
- 其他
- 题型
- single-choice / multiple-choice
- 考试语言
- English
- 证书有效期
- 3 年
你会学到的技能
学完能做什么
- 掌握 Splunk Enterprise Security 平台的完整管理和配置能力
- 能够设计和优化 Notable Events 工作流与安全监控策略
- 熟练配置相关搜索、威胁情报和 Risk-Based Alerting
- 自信通过 Splunk Enterprise Security Certified Admin（SPLK-3001）认证考试
适合这样的你
- 负责 Splunk Enterprise Security（ES）平台管理的 SOC 管理员
- 使用 Splunk ES 进行安全监控和事件响应的安全运营工程师
- 已持有 Splunk Core Certified Power User 并向安全方向发展的 Splunk 专业人员
- 希望获得企业级 SIEM 管理认证的网络安全工程师
开始前需要什么
- 建议持有 Splunk Core Certified User（SPLK-1001）或 Power User（SPLK-1002）认证
- 具备基本网络安全知识：SIEM 概念、安全事件生命周期、IOC 和威胁情报基础
- 熟悉 Splunk SPL 搜索语言，能够编写中级搜索查询
- 了解常见安全数据源：防火墙日志、端点日志、网络流量、AD 日志等
这些情况建议先考虑其他路径
- 只用 Microsoft Sentinel / Elastic SIEM / Google SecOps / QRadar 的公司 — ES 的 datamodel、correlation search、RBA 和其他 SIEM 完全不通用，知识零迁移
- SOC Tier 1 分析师 — 你的工作是 triage 已生成的 alert，不是写 correlation search，应该考 SPLK-1002（Power User）学 SPL 而不是 3001
- 没用过 Splunk Enterprise 的小白 — ES 是跑在 Splunk Enterprise 上的 app，没底层经验看不懂场景题
- 没通过 SPLK-1003 的人 — Pearson VUE 强制检查 1003 状态，没过直接无法报考
- 做 Splunk Observability Cloud / ITSI 的工程师 — 那是独立产品线，和 ES 知识不通用，你要的是其他认证
- 仅 "刷证党"（非 Splunk shop 工作的人）— 130 USD 的证换不来 non-Splunk 公司的面试机会，ROI 为负
一步一步，准备好考试
3 个章节 · 学习路径
安排你的备考
- 课程学习时长
- 19h
- 有相关实操经验
- 4-6 周
- 从基础开始
- 10-14 周
- 建议日投入
- 1-2h
备考支持
- 98 道练习题覆盖全部 SPLK-3001 考试域
- 重点考查 Notable Events 管理和相关搜索配置的实战场景题
- 涵盖 Risk-Based Alerting 和威胁情报管理的高频考点
- AI 辅导功能帮助精准定位 ES 管理薄弱环节
- 每道题含详细解析，深入理解企业级 SIEM 管理原理
1. 第一阶段：确认 SPLK-1003 已通过 + 搭建本地 ES 实验环境（1 周）
Pearson VUE 强制检查 1003 状态，没过的话直接没资格约 3001。第一步搭本地实验：下载 Splunk Enterprise 免费版（单机 500MB/day 许可），再申请 Splunk ES 60 天 trial（登录 splunk.com 官方下载页面，ES 是独立 app tar 包）。把 ES 安装到 search head，按 ES Installation Guide 跑一遍 post-install 配置：datamodel acceleration 开启、CIM 验证、demo data 加载（ES 自带 eventgen demo data，用于测试 Incident Review 页面）。走完这些之后你才有地方练。预算：4GB 内存的 VM 就够。
2. 第二阶段：精读 Splunk ES 官方 Admin Manual + CIM Add-on Manual（2-3 周）
ES 的 Admin Manual 是 3001 考试最重要的单一资料，没有之一 — 考试里至少 60% 的题目来自 Admin Manual 里明确写过的配置参数。重点章节：(1) "Manage correlation searches"（如何新建 correlation search、schedule 间隔、throttle 配置、drilldown）；(2) "Use the Incident Review dashboard"（Notable Event 生命周期、urgency matrix 的 priority × severity 计算、suppression 作用域）；(3) "Administer risk-based alerting"（risk index、risk_object 字段、risk factor）；(4) "Manage asset and identity framework"（asset lookup 的 merge 规则，identity 的 prioritized fields）。同时必须读 Splunk CIM Add-on Manual — CIM 是 ES 所有 datamodel 的标准化基础，考试至少 8-10 道题直接考 CIM 字段（比如 "Authentication datamodel 的必填字段有哪些"）。
3. 第三阶段：动手写 10 个以上 Correlation Search + 触发 Notable（2 周）
这是 3001 备考的关键动手环节，考试里的场景题 80% 是问 "这个 correlation search 写错了哪里" 或 "要触发 notable 应该配什么 adaptive response action"。具体实操：(1) 在本地 ES 的 demo data 上新建 10 个 correlation search，覆盖 brute force、data exfiltration、lateral movement、privilege escalation、malware beaconing 这几个典型场景；(2) 每个 correlation search 配三种 adaptive response action — Notable、Risk、Email，看三者的区别（notable 进 Incident Review，risk 进 risk index 参与 RBA 聚合，email 发给分析师）；(3) 故意配错 throttle（throttle fields 写错 / throttle duration 设 0），观察 alert 风暴；(4) 触发 notable 后在 Incident Review 里走一遍完整生命周期：New → In Progress → Pending → Resolved → Closed，每个状态转换时看 comment、owner、disposition 的变化。没做过这些动手实验的人考场景题一定会错。
4. 第四阶段：Risk-Based Alerting + Asset/Identity Framework 专项突击（1-2 周）
RBA 是 Splunk ES 近几年力推的新范式，考试权重 13% 但难度偏高（因为是新内容，很多老资料没覆盖）。必须理解：(1) RBA 的核心思想是 "不再为每个低置信度事件直接发 notable，而是把风险打分累积到 risk object 上，超阈值才发 notable"；(2) Risk correlation search 写入 risk index，带 risk_object（用户/主机/IP）、risk_object_type、risk_score、risk_message 字段；(3) Risk Incident Rules 是另一层 correlation search，专门扫描 risk index，按 "某个 risk_object 在 24h 内累积 risk_score > 100" 这类条件发 notable。Asset/Identity 专项：理解 asset_lookup / identity_lookup 的 merge 字段（比如 asset 的 key 是 ip/nt_host/mac/dns，identity 的 key 是 user/email/identity），merge_asset 和 merge_identity 的配置文件在 transforms.conf。考前必须能自己写出 "一个用户 5 分钟内登录失败 10 次就触发 high risk" 的完整 correlation search + RBA 配置。
5. 第五阶段：模考 + 错题回顾 + Admin Manual 最后扫一遍（1 周）
最后一周每天一套模考。JR Academy 题库 + Splunk 官方 sample questions 各刷 2 遍。重点回顾的错题类型：(1) "给你一段 correlation search SPL，问输出会如何进入 notable" — 这种题必须逐字段追踪 | stats 后的字段有没有对应到 Notable 所需字段；(2) "给你一个 urgency matrix 配置，问某事件的最终 urgency 是多少" — 记住公式：urgency = priority (from asset/identity) × severity (from correlation search)；(3) "threat_activity index 的数据怎么来的" — 来自 TI Framework 的 threatlist lookup 匹配触发；(4) "KVStore 相关的 ES 组件" — ES 用 KVStore 存 Notable Event 状态、suppression、investigations，考试会问 KVStore 挂了哪些功能失效。考前一天把 Admin Manual 的目录再过一遍，标记出自己不熟悉的小节补一补。模考稳定 78%+ 再约考试。
这张认证的职业价值
Splunk ES 的市场是小而深的
Splunk ES 是全球部署最广的 commercial SIEM 之一（Gartner SIEM MQ 常年 Leader 象限），但由于 ES 的许可费按每 GB 额外计价，只有预算充足的大客户会买 — 主要是 Fortune 500 金融机构、联邦政府、国防承包商、跨国电信。这决定了 SPLK-3001 持证人的画像：不是普及型证书，而是少数人在少数公司里做 highly paid niche work。LinkedIn 上美国 "Splunk ES Engineer" 职位中位 base 在 155-185k USD，大型 Partner（如 Accenture Federal、Optiv、Mandiant）的高级 Splunk ES Consultant 可以到 200k+ base。澳洲四大行、Telstra、国防相关 integrator（Leidos、DXC）的 Splunk ES Engineer 普遍 150-190k AUD base。
谁最该考
- 已经在 Splunk ES 用户公司做 SOC 的工程师：如果你公司已经买了 ES 且你日常在 ES 界面里做 Incident Review、写 correlation search，这张证就是你的 "官方盖章"，考完之后内部晋升（Security Analyst → Senior → Lead）的阻力会明显变小，因为很多大公司的 Splunk 团队有硬性要求 senior 岗位必须持证。
- Splunk Partner 做 ES 实施的顾问：Splunk Partner Program 对 Partner Tier 的 ES 认证数量有硬性要求 —— Gold 级 Partner 通常需要至少 2 名 SPLK-3001 持证人才能接 ES 实施项目。Partner 通常 100% 报销考试费 + 给 500-2000 USD 通过奖金。
- 从其他 SIEM（QRadar/ArcSight）转到 Splunk ES 的人：行业里这个方向的迁移很常见（尤其是 IBM QRadar EOL 之后），持 3001 证是一个非常直接的信号 "我不是只会 QRadar 思维，我能在 Splunk 的 datamodel/CIM/RBA 模型下工作"。
谁不应该考
- 只用 Microsoft Sentinel / Elastic SIEM / Google SecOps 的公司：ES 的 datamodel acceleration、correlation search 结构、risk index 机制和 Sentinel 的 KQL analytics rules 完全不通用，知识零迁移，你花 130 美元买了一张你公司永远不看的证书。
- 纯 SOC Tier 1 分析师：你的日常工作是 triage 已生成的 alert，不是维护 correlation search 逻辑 —— 3001 的 20% 内容是 "怎么写 correlation search" 这种 content engineering 工作，你考完也用不上。你应该考 SPLK-1002（Power User）学 SPL 搜索。
- 完全没碰过 Splunk Enterprise 的小白：ES 是跑在 Splunk Enterprise 之上的 app，你连 Splunk 都没装过根本看不懂 "ES 的 indexer 是不是要单独部署" 这种题。至少先做 6 个月 Splunk Admin 再来考。
- 做 Splunk Observability Cloud / ITSI 的工程师：ES 属于 Splunk 安全线产品，Observability（前 SignalFx）和 ITSI 是独立产品线，知识不通用。你要的是另外的认证。
Cisco 收购后的观察（2025-2026）：Cisco 在主推 "Splunk ES + Cisco XDR + Talos threat intel" 的打包方案，Cisco Security 的 Pre-Sales SE 开始把 SPLK-3001 列为加分项 — 这一批岗位是 Cisco 薪资体系（高于原 Splunk），持证人向 Cisco 转会能涨 10-15%。但同时 Cisco 在部分小客户场景推 XDR 替代 ES，纯 ES 小客户市场在萎缩 — 长期看这张证的 "生存空间" 是在大客户（Fortune 500 那一批），不是中小客户。
- 澳洲
- AUD 140,000 – 200,000
- 美国
- USD 150,000 – 220,000
- 中国
- CNY 350,000 – 750,000
- 新加坡
- SGD 120,000 – 190,000
备考时，做好这些事
- **70 题 / 57 分钟**（现行版本，旧资料写的 65 题/90 分钟以 Splunk 官网为准）— 平均每题不到 50 秒，时间很紧。场景题先看问题再回读背景，不要从头读每一段。
- **必读 Splunk ES Admin Manual** — 这是 3001 考试最重要的单一资料，至少 60% 的题目直接对应 Admin Manual 里写过的配置参数。重点章节：Correlation Searches、Incident Review、RBA、Asset/Identity Framework。
- **Urgency 计算公式必须背** — `urgency = priority × severity`，priority 来自 asset/identity，severity 来自 correlation search。记住 5×5 对照表，不然 urgency 场景题必错。
- **Notable Event 和 Risk Event 的区别必须分清** — Notable 进 `notable` 索引直接显示在 Incident Review；Risk 进 `risk` 索引等 RBA Incident Rule 二次聚合。这是近几年考试的高频考点。
- **Correlation Search 的 Throttling 配置** — `Window duration` + `Fields to group by` 决定 alert 频率。group fields 留空意味着全局 throttle，通常是错的。
- **CIM datamodel 的必填字段要记** — Authentication 有 user/src/dest/action，Network_Traffic 有 src/dest/src_port/dest_port/protocol，考试会直接问 "Authentication datamodel 的必填字段是哪些"。
- **Threat Intelligence 数据流** — TAXII/URL download → KVStore threatlist → lookup → correlation search 匹配 → `threat_activity` 索引 → 第二层 correlation search 写 notable。任何环节断掉都会导致看不到 threat notable。
- **考试费 130 USD + 强制前置 SPLK-1003** — Pearson VUE 系统自动检查 1003 状态，没过直接约不了。挂科 7 天内不能重考，重考全价。
这些误区要避开
- **把 ES 当成独立产品而不是 Splunk Enterprise 上的 Premium App** — ES 不是独立安装的，它是装在 Splunk Enterprise search head 上的一个巨型 app（`Splunk_SA_CIM` + `SplunkEnterpriseSecuritySuite` + 一堆 DA/TA add-on）。ES 依赖底层 Splunk Enterprise 的 indexer cluster、search head、forwarder 架构，没有 Splunk Enterprise 就没有 ES。考题陷阱：(1) "ES 需要单独的 indexer 吗" — 不需要，共用底层 Splunk Enterprise indexer；(2) "ES 可以装在 search head cluster 上吗" — 可以，但需要特别注意 KVStore replication 和 datamodel acceleration 的配置；(3) "ES 的许可是什么" — ES 按 indexed GB/day 单独收费，**在 Splunk Enterprise license 之外**。
- **Notable Event 和 Risk Event 搞混** — ES 里有两种核心事件，很多人分不清：(1) **Notable Event** 存在 `notable` 索引里，由 correlation search 配置 "Notable" adaptive response action 生成，直接出现在 Incident Review 页面供分析师处理；(2) **Risk Event** 存在 `risk` 索引里，由 correlation search 配置 "Risk" adaptive response action 生成，**不直接**出现在 Incident Review —— 它是用来被 RBA Incident Rule 二次聚合的中间数据。正确流程：低置信度规则 → 写 Risk Event → 按 risk_object 累积 → 超阈值的 Risk Incident Rule 写 Notable Event → 分析师看到。考题陷阱：(1) 以为 Risk Event 会直接显示在 Incident Review —— 错；(2) 以为 Notable Event 必须有 risk_score —— 错，Notable 不依赖 risk index。
- **Correlation Search 的 Throttling 配置理解错误** — Throttling 是 ES 用来防止 alert 风暴的机制，有两个关键字段：(1) `Window duration`（throttle 时长，如 3600s）；(2) `Fields to group by`（分组字段，如 src, user）。含义：在 window duration 时间内，对于相同的 group fields 值组合，只发一个 notable。常见错误：(1) 把 group fields 留空 —— 意味着整个 correlation search 在整段时间内只发一个 notable，会漏很多事件；(2) 把 window duration 设成 0 —— 意味着 throttling 失效，每个匹配事件都发 notable；(3) 以为 throttling 是在 notable 已生成后去重 —— 错，throttling 在 correlation search 结果转 notable **之前**生效。考试会给你一段 throttle 配置，问 "10 分钟内 5 个相同 src 的失败登录事件会生成几个 notable"，答案取决于 group fields 是否包含 src。
- **Datamodel Acceleration 没开导致 ES 搜索慢也能扣分** — ES 严重依赖 Splunk datamodel（Authentication、Network_Traffic、Malware、Web、Endpoint 等 CIM datamodel）的 acceleration 来加速 correlation search。datamodel acceleration 本质是用 tsidx 文件提前把 datamodel 查询结果物化。考题陷阱：(1) "为什么 Authentication correlation search 跑得很慢" —— 答案是 Authentication datamodel 没有开 acceleration 或者 acceleration 进度不到 100%；(2) "ES 装完后应该先做什么" —— 启用 CIM 的 datamodel acceleration（在 Settings → Data Models 里对每个 CIM datamodel 右键 Accelerate）；(3) "datamodel acceleration 的数据存哪里" —— 存在 indexer 上的 tsidx summary 文件里，按 summary_range 配置（默认 1 年）滚动。
- **Asset/Identity Framework 的 Merge 和 Priority 机制不清楚** — ES 用 Asset Lookup 和 Identity Lookup 把 IP/host/user 这些 "identifier" 关联到 "业务元数据"（owner、department、priority）。两个关键配置：(1) **Merge rules** 定义在 `transforms.conf` 的 asset_lookup 和 identity_lookup stanza 的 `case_sensitive_match` 和 `match_type`；(2) **Priority field** 值可以是 low/medium/high/critical，ES 根据 priority 自动算 urgency。常见错误：(1) 以为 asset csv 里加一行就能立即生效 —— 错，需要跑一次 identity manager 或等 schedule；(2) 以为 priority 可以是 0-10 的数字 —— 错，ES 只认 low/medium/high/critical 四个值；(3) 配 asset csv 时用了错误的字段名（比如用 "hostname" 而不是 "nt_host"）—— asset framework 只认特定字段名，列表在 Admin Manual 的 "Format an asset or identity list" 章节。
- **Urgency 计算公式记错** — ES 的 urgency 不是人工设置的，而是**自动计算**的：`urgency = priority × severity`，其中 priority 来自 asset_lookup 或 identity_lookup 的 priority 字段（或 correlation search 里手动指定），severity 来自 correlation search 本身配置。结果是 informational/low/medium/high/critical 五档。**对照表需要背**：low priority × high severity = medium urgency，critical priority × medium severity = high urgency。考题会给你一个 correlation search 的 severity 配置 + 一个 asset 的 priority，问最终的 urgency，必须记对照表才能算对。很多人以为 urgency 是分析师手动填的，这是错的 —— 分析师在 Incident Review 里调的是 status 和 disposition，不是 urgency。
- **Threat Intelligence Framework 的数据流向搞错** — ES 的 TI Framework 处理流程：(1) Threat Intelligence Downloads（配置在 Configure → Data Enrichment → Threat Intelligence Downloads）从 TAXII server 或 URL 拉 IOC；(2) 拉下来的 IOC 存到 KVStore 的 threatlist collection；(3) ES 内置的 Threat Intelligence Management modular input 把 KVStore 数据转成 lookup 文件；(4) `threat_activity` 索引存真正的 threat 匹配结果 —— 由预置的 correlation search（如 Threat Activity Detected）扫描你的事件和 threatlist lookup 匹配后写入；(5) Incident Review 里的 threat notable 来自扫描 threat_activity 索引的第二层 correlation search。常见错误：(1) 以为 TAXII 拉下来的 IOC 会直接进 threat_activity —— 错，中间隔了 correlation search 这一步；(2) threatlist 拉下来但看不到 notable —— 通常是对应的 correlation search 被 disable 了。
- **ES 在 Search Head Cluster 上部署的特殊要求** — ES 可以装在 SHC 上，但有几个反直觉的规则：(1) ES app bundle 必须通过 **SHC deployer** 推送（`splunk apply shcluster-bundle`），不能手动在每个 member 上装；(2) ES 的 KVStore 数据（Notable Event 状态、suppressions、investigations）会通过 SHC 的 KVStore replication 自动同步，不需要额外配置；(3) datamodel acceleration 的 tsidx summary 由**每个** search head 独立累积（不在 SHC 之间同步），这是正常的，因为 tsidx 是 indexer 侧的数据摘要，search head 只是在查询时用到；(4) 在 SHC captain 上运行的 scheduled correlation search 和 ad-hoc search 行为不同 —— captain 负责调度所有 member 的 scheduled search 分配，不是自己全跑。考试会问 "ES 装在 3 节点 SHC 上，deploy app 应该用哪个命令"，答案是 `splunk apply shcluster-bundle -target <captain_uri>` 而不是直接在 member 上装。
报名之前，你可能想问
Splunk SPLK-3001 Enterprise Certified Consultant 考试难度如何？
SPLK-3001 考试时长 90 分钟，约 65 道单选和多选题，需达到 70% 的正确率通过。这是 Splunk 的高级顾问认证，考试侧重企业级 Splunk 部署架构设计、性能优化和最佳实践，要求丰富的实际部署和咨询经验。
SPLK-3001 考试涵盖哪些核心知识领域？
考试主要考查 Splunk 企业级架构设计（索引器集群、搜索头集群）、分布式部署规划与实施、数据摄取策略与优化、性能调优与容量规划、高可用性与灾难恢复配置，以及 Splunk 部署最佳实践和客户咨询方法。
SPLK-3001 和 SPLK-1002 有什么区别？
SPLK-1002 是 Splunk Core Certified Power User，侧重搜索和报告功能的高级使用；SPLK-3001 是 Enterprise Certified Consultant，侧重企业级部署架构和咨询能力。SPLK-3001 的难度更高，要求对 Splunk 基础设施有深入理解。
索引器集群和搜索头集群是考试重点吗？
是的，集群架构是 SPLK-3001 考试的核心内容。你需要理解索引器集群的复制因子和搜索因子配置、搜索头集群的部署和管理、集群成员的故障处理和恢复流程，以及多站点集群的设计原则。
备考 SPLK-3001 需要哪些前置认证？
虽然没有强制前置要求，但强烈建议先通过 SPLK-1001（Core Certified User）和 SPLK-1002（Core Certified Power User），并具备 Splunk 管理员经验。扎实的 Linux 系统管理和网络基础知识也很重要。
如何高效备考 Splunk SPLK-3001？
建议重点学习 Splunk 分布式架构设计和集群管理，掌握索引器集群、搜索头集群的配置流程。使用本平台的 98 道练习题进行系统训练，特别关注架构设计场景题和性能调优问题。搭建多节点 Splunk 实验环境进行动手实践效果最佳。
听听学过的人怎么说
评价加载中…
我在银行做 Splunk ES 已经 2 年，日常就是写 correlation search 和维护 detection content。考 3001 是因为晋升 Senior Detection Engineer 需要硬性持证。备考里最意外的是 RBA 部分 — 我们公司还在用传统 notable 模式没上 RBA，结果考试里至少 6-7 道题深入问 RBA 的 risk_object 聚合逻辑，临时突击了一周 Splunk 官方的 RBA blog 系列文章才补上。另一个坑是 urgency matrix — 我一直以为是人工设置的，考试才搞清楚是 priority × severity 自动算出来的，priority 来自 asset_lookup / identity_lookup 的 priority 字段。建议所有人必读 ES Admin Manual 的 "Use the Incident Review dashboard" 这一整章。
Priya S.
SOC Content Engineer（悉尼某澳洲大行 Security Platform 团队） · 81% · 5 周
做 ES 实施 5 年考这个算是做总结，但题目还是踩了两个坑。第一个：asset/identity framework 的 merge 规则 — 我以为只要 csv 里有 ip 字段就能 merge，实际上 ES 的 merge 是按 identity_manager 的 prioritized 字段列表 + ttl 配置做的，merge_asset.conf 和 merge_identity.conf 里的顺序决定谁覆盖谁。第二个：Adaptive Response Action 的执行顺序 — 考试问 "一个 correlation search 配了 4 个 action（notable / risk / email / script），哪个先执行"，答案是按 search 里配置的顺序串行执行，不是并行，这个细节没读过文档很难答对。给备考者的建议：考前一定要在本地 ES 装一次 Splunk_SA_CIM app 然后跑一遍 datamodel acceleration，亲眼看到 tstats 搜索加速前后的速度差距，你才会真正理解为什么 ES 依赖 datamodel acceleration。
Marcus B.
Splunk Principal Consultant（美国某 Splunk Gold Partner，华盛顿） · 88% · 3 周
我之前只做 Splunk Enterprise admin（已过 SPLK-1003），没怎么碰过 ES，纯靠 8 周突击。74% 擦边过，复盘下来最大的教训是没做够动手实验 — 前 5 周全在读文档，结果场景题不会答。后 3 周才搭了本地 ES trial 环境每天写 correlation search，答题准确率立刻上来了。最容易错的是 Threat Intelligence Framework — 我以为 TI 就是导入 STIX/TAXII 然后自动匹配，实际上 ES 的 TI 流程是：threatlist lookup → threat_activity 索引 → correlation search 扫描 threat_activity → 触发 notable，中间每个环节都有可能断掉，考试会问 "为什么 TAXII 拉下来了数据但 Incident Review 看不到 threat notable"，正确答案几乎都是某个中间环节的配置问题（比如 threatlist disable 了、或者对应的 correlation search 没启用）。
Wei C.
Security Engineer（上海某跨国金融机构 Splunk Platform 团队） · 74% · 8 周
从第一章，开始你的备考。
前 2 章免费试学 · 完整备考 $39 起