先了解这张认证
SPLK-3003 Splunk SOAR Certified Automation Developer 是 Splunk SOAR（原 Phantom）平台的开发者认证，60 题 / 75 分钟。
Splunk SOAR 是安全编排、自动化和响应（SOAR）平台，核心能力是将安全运维流程编排为可重复执行的 Playbook — 告警触发后自动执行 IOC 查询、IP 封锁、工单创建等动作。和 SOAR Admin 认证不同，Developer 认证聚焦于 Playbook Python 开发（约 30%）、自定义 App 开发（约 20%）和 REST API 集成（约 15%）。
考试要求能读懂和编写 Python 代码 — Playbook 的 Custom Function、App Connector 的 action handler 都是 Python。约 25% 的题给一段 SOAR Python 代码问逻辑或排错。
考试档案
- 考试代码
- SPLK-3003
- 发证机构
- 其他
- 题型
- single-choice / multiple-choice
- 考试语言
- English
- 证书有效期
- 3 年
你会学到的技能
学完能做什么
- 掌握 Splunk SOAR 平台的 Playbook 完整开发生命周期
- 能够使用 Python 开发自定义函数和 SOAR App 连接器
- 熟练配置 REST API 集成和 Webhook 触发器实现端到端自动化
- 自信通过 Splunk SOAR Certified Automation Developer（SPLK-3003）认证考试
适合这样的你
- 负责在 Splunk SOAR 平台开发自动化 Playbook 的安全自动化工程师
- 需要将 EDR、防火墙、SIEM 等安全工具集成到 SOAR 平台的开发工程师
- 具备 Python 编程基础并希望进入安全自动化领域的开发人员
- 希望通过 SOAR 认证提升安全工程竞争力的 SOC 工程师
开始前需要什么
- 具备 Python 编程能力（中级水平），熟悉函数、类、异常处理和 JSON 数据处理
- 了解 REST API 基本概念：HTTP 方法、认证方式（API Key、OAuth）、JSON 格式
- 具备安全运营基础知识：安全事件生命周期、IOC 类型、威胁响应流程
- 建议了解 Splunk 基础操作，有 SOAR 或安全编排平台使用经验者优先
一步一步，准备好考试
3 个章节 · 学习路径
安排你的备考
- 课程学习时长
- 16h
- 有相关实操经验
- 4-6 周
- 从基础开始
- 8-12 周
- 建议日投入
- 1-2h
备考支持
- 152 道练习题覆盖全部 SPLK-3003 考试域
- 重点考查 Playbook 设计逻辑和 Python 自动化开发的实战场景题
- 涵盖 SOAR App 开发和 REST API 集成的高频考点
- AI 辅导功能帮助精准定位 SOAR 开发薄弱环节
- 每道题含详细解析，深入理解安全自动化开发原理
1. 第一阶段：SOAR 核心概念（1-2 周）
Container（安全事件容器）、Artifact（IOC/证据）、Asset（集成的安全工具）、Action（对 Asset 执行的操作）四个核心对象。Visual Playbook Editor（VPE）的 Decision Block、Filter、Format Block 使用。
2. 第二阶段：Playbook Python 开发 + App 开发（2-3 周）
Custom Function 的 Python 开发（输入/输出参数定义、phantom.rules API）。App Connector 开发框架：BaseConnector 类继承、handle_action 方法、action JSON 定义。在 SOAR 社区版（免费）上练习开发和调试。
3. 第三阶段：REST API + 模考（1-2 周）
SOAR REST API 端点（/rest/container、/rest/artifact、/rest/action_run）的 CRUD 操作。Playbook 的测试和调试方法。做 2 套模考，Python 代码阅读题务必快速准确。
这张认证的职业价值
SOAR 工程师是 SOC 自动化转型中需求增长最快的角色之一。Splunk SOAR（Phantom）在 SOAR 市场占有率约 20-25%，和 Palo Alto XSOAR 并列第一梯队。
适合考的人：在 Splunk SOAR 环境中开发 Playbook 和自定义 App 的安全自动化工程师。
不适合考的人：不写代码的 SOC 分析师，或者使用其他 SOAR 平台（XSOAR、Tines、Swimlane）的人。
- 澳洲
- AUD 130,000 – 175,000
- 美国
- USD 115,000 – 165,000
- 新加坡
- SGD 95,000 – 145,000
备考时，做好这些事
这些误区要避开
- **不熟悉 Container/Artifact 关系** — Container 是一个安全事件，Artifact 是事件中的 IOC（IP、Hash、URL 等）。Playbook 从 Container 触发，对 Artifact 执行 Action。
- **App 开发框架不熟** — BaseConnector 的 initialize/handle_action/finalize 生命周期、action 参数从 param 字典获取的方式都是考点。
- **忽略 Playbook 调试** — SOAR 的 Playbook Debugger 功能、/opt/phantom/var/log/spawn.log 日志位置都会考到。
报名之前，你可能想问
Splunk SPLK-3003 SOAR Certified Automation Developer 考试难度如何？
SPLK-3003 考试时长 90 分钟，约 65 道单选和多选题，需达到 70% 的正确率通过。考试重点考查 Splunk SOAR（Security Orchestration, Automation and Response）平台的自动化开发能力，包括 Playbook 设计、应用开发和 API 集成，需要编程基础和安全运维经验。
SPLK-3003 考试涵盖哪些核心知识领域？
考试主要考查 Splunk SOAR 平台架构与组件、Playbook 设计与开发（Visual Playbook Editor 和 Python）、SOAR 应用（App）开发与连接器配置、案例管理与工作流自动化、REST API 集成与自定义功能开发，以及 SOAR 部署和管理最佳实践。
什么是 Splunk SOAR？它和 Splunk Enterprise 有什么关系？
Splunk SOAR（原 Phantom）是安全编排、自动化和响应平台，用于自动化安全运维流程。它可以与 Splunk Enterprise/Cloud 集成，将 Splunk 的安全事件自动触发 SOAR Playbook 进行响应。SOAR 侧重于自动化工作流，Splunk 侧重于数据分析和检测。
备考 SPLK-3003 需要编程基础吗？
是的，Python 编程能力是必需的。SOAR Playbook 可以使用可视化编辑器创建，但高级自动化需要编写 Python 代码。考试会涉及 Python 脚本编写、API 调用、JSON 数据处理等技术内容。建议至少掌握 Python 中级水平。
Playbook 开发在考试中占比大吗？
Playbook 是 SPLK-3003 考试的核心内容。你需要掌握 Playbook 的设计原则、决策块和过滤器的使用、自定义函数开发、Playbook 调试与测试方法，以及如何将多个 Playbook 串联形成完整的自动化响应流程。
如何高效备考 Splunk SPLK-3003？
建议先熟悉 SOAR 平台基本概念和 Playbook 可视化编辑器，然后深入学习 Python 自动化开发和 API 集成。使用本平台的 152 道练习题进行系统训练，重点关注 Playbook 设计场景题和应用开发问题。如有条件，申请 Splunk SOAR 社区版进行实操练习。
听听学过的人怎么说
评价加载中…
有 Python 基础的话不难，核心是理解 SOAR 的对象模型（Container → Artifact → Action → Result）。App 开发的 BaseConnector 继承模式是高频考点 — handle_action 方法里怎么分发不同 action 的逻辑。
A. Kumar
SOAR 开发者 @ MSSP · 通过 · 5 周
从第一章，开始你的备考。
前 2 章免费试学 · 完整备考 $39 起