先了解这张认证
Splunk Certified Cybersecurity Defense Analyst (SPLK-5001) 是 Splunk 2024 年新发布的认证，取代旧的 Splunk Certified Security Analytics Professional 路径。考试验证使用 Splunk 平台（包括 Splunk Enterprise Security / ES）进行安全监控、威胁检测和事件调查的能力。
考试规格：65 题 / 90 分钟，及格 70/100，考试费免费（Splunk 认证改革后部分考试免费），有效期 3 年。
六大考纲领域：
- 安全概念与威胁情报 — 15%：安全事件生命周期、IOC/IOA 概念、MITRE ATT&CK 战术与技术映射
- Splunk 安全监控 — 25%：SPL 安全查询（stats/timechart/rare 做异常检测）、安全数据源（Windows Event Log、Syslog、Firewall log）解析
- Splunk ES 使用 — 20%：Notable Events 审查、Risk-Based Alerting (RBA)、安全态势仪表板、Investigation 功能
- 安全事件调查 — 20%：日志关联分析、横向移动检测（PsExec/WMI/RDP 跳板）、账户泄露分析
- 告警与响应 — 12%：告警创建策略、自适应响应动作（Adaptive Response Actions）、SOAR 集成
- 合规与报告 — 8%：安全 KPI 仪表板、合规数据收集
和 SPLK-1001/1002/1003 的区别：SPLK-1001 (Core User) 考基础 SPL 搜索；SPLK-1002 (Power User) 考高级 SPL + 数据模型；SPLK-1003 (Admin) 考 Splunk 平台管理。SPLK-5001 专门考安全分析，假设你已有 Power User 水平的 SPL 能力，在此基础上叠加安全领域知识。
考试档案
- 考试代码
- SPLK-5001
- 发证机构
- 其他
- 题型
- single-choice / multiple-choice
- 考试语言
- English
- 证书有效期
- 3 年
你会学到的技能
学完能做什么
- 掌握使用 Splunk SPL 进行威胁检测和安全异常分析的核心技能
- 能够将安全事件映射到 MITRE ATT&CK 框架并制定针对性检测规则
- 熟练使用 Splunk Enterprise Security 进行 Notable Events 审查和安全调查
- 自信通过 Splunk Cybersecurity Defense Analyst（SPLK-5001）认证考试
适合这样的你
- 在 SOC 使用 Splunk 进行日常安全监控和事件响应的安全分析师（L1/L2）
- 希望通过 Splunk 认证验证安全分析能力、提升职业竞争力的网络安全工程师
- 已持有 Splunk Core Certified User 并向安全分析方向发展的 Splunk 专业人员
- 计划从 IT 运维或系统管理转型到 SOC 安全分析师岗位的技术人员
开始前需要什么
- 掌握 Splunk 基础搜索和 SPL 查询语言（Splunk Core Certified User 水平或同等能力）
- 具备网络安全基础知识：常见攻击类型（网络扫描、钓鱼、勒索软件）、日志分析基础
- 了解 MITRE ATT&CK 框架的基本概念（Tactics、Techniques、Procedures）
- 熟悉常见安全数据源：防火墙日志、Windows 事件日志、网络流量（NetFlow）、DNS 日志
这些情况建议先考虑其他路径
- 不用 Splunk 的安全工程师 — SPL 查询和 Splunk ES 操作在其他 SIEM 上无法迁移
- SPL 基础薄弱的人 — 先考 SPLK-1002 (Power User) 再来
- 想要厂商中立安全认证的人 — CompTIA CySA+ 或 ISC2 CC 更通用
一步一步，准备好考试
3 个章节 · 学习路径
安排你的备考
- 课程学习时长
- 13h
- 有相关实操经验
- 4-6 周
- 从基础开始
- 10-14 周
- 建议日投入
- 1-2h
备考支持
- 152 道练习题覆盖全部 SPLK-5001 考试域
- 重点考查 MITRE ATT&CK 场景映射和 SPL 安全查询编写的实战题
- 涵盖 Splunk ES Notable Events 审查和安全事件调查的高频考点
- AI 辅导功能帮助精准定位安全分析薄弱环节
- 每道题含详细解析，深入理解 SOC 威胁检测与响应原理
1. 第一阶段：SPL 安全查询 + 数据源（2-3 周）
前提：SPLK-1002 (Power User) 级别的 SPL 能力。如果 SPL 基础薄弱，先补 stats、timechart、eval、rex、lookup 命令。安全查询重点：| tstats 加速搜索数据模型、| stats count by src_ip dest_ip 检测异常通信模式、| rare 发现低频异常事件、| transaction 关联同一会话的多条日志。安全数据源：Windows Security Event Log (4624/4625/4688/4720)、Syslog (firewall/IDS)、Web Access Log。
2. 第二阶段：Splunk ES + MITRE ATT&CK（2-3 周）
Splunk ES (Enterprise Security) 是考试核心。在 Splunk Cloud trial 或 Splunk 免费版 + SA-ES app 上练习。关键操作：Notable Events 审查工作流（New → In Progress → Resolved → Closed）、Risk-Based Alerting 的 risk_score 计算逻辑、Threat Intelligence Framework (TIF) 的 IOC 导入与匹配。MITRE ATT&CK 部分：14 个 Tactics（Reconnaissance → Impact）的名称和典型 Techniques 必须认识，考试会给一个攻击描述让你判断属于哪个 Tactic。
3. 第三阶段：事件调查场景 + 刷题冲刺（1-2 周）
安全事件调查 20% 权重 — 考题给一个场景（如"发现异常 RDP 登录"），问你下一步用什么 SPL 查询、查什么数据源、怎么判断横向移动。练习方法：Splunk BOTS (Boss of the SOC) 数据集是免费的 CTF 练习，v1/v2/v3 都有，做 1-2 套 BOTS 题目能覆盖大部分考试调查场景。最后 1 周刷 Splunk 官方 practice exam + 社区题。
这张认证的职业价值
Splunk 在 SIEM 市场的地位：Gartner 2025 Magic Quadrant for SIEM 里 Splunk（现归 Cisco）仍在 Leaders 象限。全球 SIEM 市场 Splunk 份额约 25-30%，尤其在美国和澳洲的金融/政府/电信行业渗透率高。
SPLK-5001 的价值：SOC Analyst 岗位 JD 里最常见的两个关键词是"Splunk"和"MITRE ATT&CK"。这张认证同时覆盖两者。Indeed 2025 数据，美国标注 "Splunk" 的安全岗位约 1.2 万条，其中 60%+ 在 SOC Analyst / Security Analyst 级别。
薪资数据：Salary.com 2025，美国 SOC Analyst L2 $90-110K，带 Splunk ES 经验 + SPLK-5001 证可到 $115-140K；澳洲 SOC Analyst $95-130K AUD，Senior 到 $140-155K AUD。
不适合考的人：不用 Splunk 的安全工程师 — 如果你的 SIEM 是 Microsoft Sentinel、QRadar 或 Elastic SIEM，学 SPLK-5001 的 SPL 查询和 Splunk ES 操作在你日常工具上完全用不上。这类人考 CompTIA CySA+ 或对应平台认证更实际。
- 澳洲
- AUD 100,000 – 150,000
- 美国
- USD 85,000 – 140,000
- 中国
- CNY 200,000 – 400,000
- 新加坡
- SGD 72,000 – 120,000
备考时，做好这些事
- **Splunk BOTS 是最好的免费练习** — Boss of the SOC CTF 数据集 (v1/v2/v3) 涵盖的安全调查场景和考试高度重叠。做 1-2 套能显著提分。
- **90 分钟 65 题时间偏紧** — SPL 分析题需要逐行读查询，不能跳。建议概念题 60 秒以内，SPL 分析题 2 分钟。
- **考试免费但需要 Splunk 账号** — 在 splunk.com/certification 注册，通过 Pearson VUE 预约。免费政策可能随时变化，约考前确认。
这些误区要避开
- **MITRE ATT&CK Tactics 顺序记错** — 14 个 Tactics 有严格的攻击链顺序：Reconnaissance → Resource Development → Initial Access → Execution → Persistence → Privilege Escalation → Defense Evasion → Credential Access → Discovery → Lateral Movement → Collection → C2 → Exfiltration → Impact。考题给一个攻击行为让你选 Tactic，顺序搞混就选错。
- **Notable Event 和 Alert 混淆** — Alert 是 Splunk 基础告警（saved search + 触发条件），Notable Event 是 Splunk ES 的安全事件概念（Correlation Search 触发后生成），有独立的审查工作流和 urgency/severity 字段。两者不是一个东西。
- **`| tstats` 和 `| stats` 使用场景搞混** — `| tstats` 只能搜索被加速的数据模型（CIM-compliant），速度极快但功能受限；`| stats` 搜索原始数据，功能强但慢。安全场景下对 CIM 数据模型（Authentication、Network Traffic、Web）用 `| tstats` 是最佳实践。
- **Windows Event ID 记不住** — 高频考的：4624 (成功登录)、4625 (失败登录)、4688 (新进程创建)、4720 (新用户创建)、4732 (用户加入本地组)、1102 (审计日志清除)。至少这 6 个必须能和安全场景对应。
报名之前，你可能想问
Splunk SPLK-5001 Cybersecurity Defense Analyst 考试难度如何？
SPLK-5001 考试时长 90 分钟，约 65 道单选和多选题，需达到 70% 的正确率通过。考试侧重使用 Splunk 进行网络安全防御分析，包括威胁检测、安全事件调查、MITRE ATT&CK 框架应用等，需要安全分析和 Splunk SPL 查询的实际经验。
SPLK-5001 考试涵盖哪些核心知识领域？
考试主要考查使用 Splunk 进行安全监控与威胁检测、安全事件调查与分析方法、MITRE ATT&CK 框架在 Splunk 中的应用、Splunk Enterprise Security (ES) 的功能使用、安全数据源管理（防火墙日志、端点日志、网络流量等），以及安全合规报告生成。
考试需要掌握 MITRE ATT&CK 框架吗？
是的，MITRE ATT&CK 框架是考试的重要组成部分。你需要了解 ATT&CK 矩阵中的战术（Tactics）和技术（Techniques），能够将安全事件映射到 ATT&CK 框架，并使用 Splunk 创建基于 ATT&CK 的检测规则和仪表板。
SPLK-5001 和 Splunk Enterprise Security (ES) 有什么关系？
SPLK-5001 考试涉及 Splunk Enterprise Security 的使用，但不要求你是 ES 管理员。你需要了解 ES 的核心功能，如 Notable Events、Risk-Based Alerting、安全态势仪表板和调查工作流。重点是作为安全分析师如何使用这些工具进行威胁分析。
备考 SPLK-5001 需要哪些前置知识？
建议先掌握 Splunk 基础搜索和 SPL 查询能力（至少 Splunk Core User 水平），具备网络安全基础知识（网络协议、常见攻击类型、日志分析），了解 MITRE ATT&CK 框架基本概念。有 SOC 分析师工作经验会大大帮助备考。
如何高效备考 Splunk SPLK-5001？
建议先巩固 Splunk SPL 查询能力，然后重点学习安全分析方法和 MITRE ATT&CK 框架。使用本平台的 152 道练习题进行系统训练，特别关注威胁检测场景题、安全事件调查流程和 SPL 安全查询编写。结合 Splunk Boss of the SOC (BOTS) 数据集进行实战练习效果最佳。
听听学过的人怎么说
评价加载中…
日常用 Splunk ES 值班 2 年。考 SPLK-5001 最意外的是 Risk-Based Alerting (RBA) 考得很细 — 我平时只看 Notable Events，从没配过 risk_score 规则。真考 3-4 道题问 RBA 的 risk_object 和 risk_score 累加逻辑。建议在 Splunk docs 里把 RBA 那几页读透。
A. Sharma
SOC Analyst L2 (MSSP, 澳洲) · 82/100 · 5 周
有安全背景但 Splunk 只用了半年。最难的是 SPL 安全查询要写得又快又准 — 考试 90 分钟 65 题，有些题给一段 SPL 让你判断"这个查询检测的是什么攻击行为"，不熟 SPL 管道操作符的人会在这类题上卡住。建议先拿下 SPLK-1002 再来考 5001。
某金融公司安全工程师
SIEM Engineer（深圳） · 78/100 · 8 周
从第一章，开始你的备考。
前 2 章免费试学 · 完整备考 $39 起