先了解这张认证
SPLK-1004 Splunk Core Certified Advanced Power User 是 Splunk 搜索分析方向的最高级别认证，65 题 / 75 分钟。前置要求：已持有 Splunk Core Certified Power User（SPLK-1002）。
考试核心是 CIM（Common Information Model）数据规范化（约 25%）、数据模型加速和 tstats 命令（约 20%）、高级 SPL 命令（join/transaction/append 约 25%）、搜索性能优化（Summary Indexing/Report Acceleration 约 15%）。
和 SPLK-1002 的区别：1002 考"能用 SPL 做分析"，1004 考"能写出高性能的复杂 SPL 并理解底层机制"。典型难题：给一个跨 3 个 sourcetype 的关联分析需求，问该用 join、append 还是 tstats + datamodel，并解释性能差异。
考试档案
- 考试代码
- SPLK-1004
- 发证机构
- 其他
- 题型
- single-choice / multiple-choice
- 考试语言
- English
- 证书有效期
- 3 年
你会学到的技能
学完能做什么
- 自信通过 Splunk Core Certified Advanced Power User SPLK-1004 认证
- 精通 tstats 命令和数据模型加速，显著提升大数据查询效率
- 能够独立构建复杂关联分析查询（join/transaction/subsearch）
- 具备向 Splunk Enterprise Security 方向进阶的高级技术基础
适合这样的你
- 已持有 SPLK-1002 并希望达到 Splunk 分析方向最高级别的专业人员
- 高级 SOC 分析师，需要构建高效的安全检测 SPL 查询
- Splunk 工程师，负责数据模型设计和搜索性能优化
- 安全数据工程师，需要精通 CIM 规范化和 tstats 加速查询
开始前需要什么
- 已通过 SPLK-1002 Splunk Core Certified Power User 认证
- 1 年以上 Splunk Power User 实际工作经验
- 熟悉 CIM 数据模型和知识对象管理
- 具备基本正则表达式编写能力
一步一步，准备好考试
3 个章节 · 学习路径
安排你的备考
- 课程学习时长
- 12h
- 有相关实操经验
- 4-6 周
- 从基础开始
- 8-12 周
- 建议日投入
- 1-2h
备考支持
- 152 道练习题，全面覆盖高级 SPL 和数据模型加速考点
- 重点强化：tstats vs stats 性能对比、DMA 配置场景题
- AI 智能辅导，精准讲解 transaction vs stats 适用场景
- 模拟 70 题 / 63 分钟真实高级考试节奏
- 配合 Splunk 官方 Boss of the SOC（BOTS）数据集练习建议
1. 第一阶段：CIM 和数据模型（2 周）
精读 Splunk CIM 文档，理解 CIM Add-on 的字段映射机制。在自己的 Splunk 环境中用 | datamodel 命令查看已加速的数据模型。练习 | tstats 命令替代 | stats 做加速查询。
2. 第二阶段：高级 SPL 和性能优化（2-3 周）
join vs append vs appendcols 的场景选择和性能差异。transaction 命令的 maxspan/maxpause 参数。Summary Indexing（| collect / | sitop）和 Report Acceleration 的配置和适用场景。Streaming vs Non-streaming 命令的性能影响。
3. 第三阶段：模考冲刺（1-2 周）
做 2-3 套模考，重点关注"给需求选最优 SPL 方案"的题。考试时间紧（65 题 / 75 分钟），每题约 69 秒，需要快速判断。
这张认证的职业价值
Advanced Power User 在 Splunk 认证体系中属于"分析方向顶端"，和 Admin/Architect 方向平行。持证者通常是 SOC 团队的高级分析师或 Splunk CoE（Center of Excellence）的技术骨干。
适合考的人：日常工作中写复杂 SPL（多数据源关联、CIM 映射、性能优化）的 Splunk 用户。
不适合考的人：只做基本搜索和 Dashboard 的初级用户 — 先考 SPLK-1002 Power User。
- 澳洲
- AUD 130,000 – 170,000
- 美国
- USD 110,000 – 155,000
- 新加坡
- SGD 90,000 – 140,000
备考时，做好这些事
这些误区要避开
- **不理解 tstats 和 stats 的区别** — tstats 只能查询加速数据模型或 tstat 索引，速度快 10-100 倍但有数据范围限制。考试经常问"什么情况下 tstats 不能用"。
- **join 命令滥用** — Splunk 官方不推荐在大数据集上用 join（性能差、有结果数限制）。考试会给场景让你选 join 还是 stats + where 组合。
- **忽略 Metrics Index** — mcollect/meventcollect 虽然只占约 5%，但几乎一定出 1-2 题，完全不准备就白丢分。
报名之前，你可能想问
SPLK-1004 考试难度如何？和 SPLK-1002 相比提升了多少？
SPLK-1004（Splunk Core Certified Advanced Power User）是 Splunk 搜索分析方向的最高级别认证，共 70 道题，63 分钟完成，通过分数线 70%。难度比 SPLK-1002 有质的飞跃：(1) 要求精通高级 SPL 命令和复杂搜索编写，包括多层子搜索、join、append、事务分析等；(2) CIM（Common Information Model）从概念理解升级到实际应用和故障排查；(3) 数据模型加速（Data Model Acceleration）的配置和优化是核心考点；(4) 需要理解搜索性能优化策略，包括 tstats、summary indexing 和加速报表的使用场景；(5) 复杂的正则表达式和字段提取。建议至少有 1 年以上 Splunk Power User 实际工作经验。
SPLK-1004 考试中 CIM 相关内容占多大比重？需要掌握到什么程度？
CIM（Common Information Model）及相关数据规范化内容约占 SPLK-1004 考试的 25-30%，是最重要的考点之一。需要掌握：(1) CIM 的核心目的：将来自不同供应商和格式的数据规范化为统一的字段命名和数据模型，实现跨数据源的统一搜索和关联分析；(2) CIM 数据模型的主要类别：Authentication、Network Traffic、Web、Malware、Intrusion Detection 等，了解每个模型的关键字段；(3) CIM Add-on 的工作原理：通过 props.conf 和 transforms.conf 将原始数据字段映射到 CIM 标准字段（如将 src_ip 映射为 src）；(4) 使用 | datamodel 命令查询数据模型、使用 Pivot 界面创建报表；(5) 验证数据是否符合 CIM 规范的方法和常见问题排查。
SPLK-1004 考试中数据模型加速（Data Model Acceleration）怎么准备？
数据模型加速是 SPLK-1004 的核心考点，约占 15-20%。需要掌握：(1) 加速原理：DMA 通过在后台自动生成 TSIDX 文件来预计算数据模型的统计结果，使 | tstats 命令可以在不扫描原始数据的情况下快速返回结果；(2) 启用和配置：在数据模型设置中启用加速并设置加速时间范围（Summary Range），理解加速构建的资源消耗和调度；(3) | tstats 命令：这是查询加速数据模型的专用命令，语法与 stats 不同（使用 from datamodel=ModelName.DatasetName），需要熟练掌握其过滤和统计语法；(4) 加速 vs 报表加速（Report Acceleration）vs 摘要索引（Summary Indexing）的区别和适用场景；(5) 常见问题：加速构建延迟、数据覆盖不完整的排查方法。
SPLK-1004 考试需要掌握哪些高级 SPL 命令？
除了 SPLK-1002 的所有命令外，SPLK-1004 还需要精通以下高级 SPL：(1) 子搜索和关联：subsearch、join（inner/outer/left）、append、appendcols 的语法和性能影响；(2) 事务分析：transaction 命令的参数（maxspan、maxpause、startswith、endswith），与 stats 命令在性能上的对比；(3) 多值字段处理：mvexpand、mvzip、mvappend、mvfilter、mvdedup 等命令的精确使用；(4) 高级 eval 函数：case()、coalesce()、mvfilter()、if()、match()、replace() 等；(5) 搜索优化命令：tstats（查询加速数据模型）、mcollect/meventcollect（写入指标索引）、collect（写入摘要索引）；(6) 正则表达式：rex 命令中的命名捕获组、sed 模式、regex 命令的过滤用法。考试侧重命令的实际应用场景。
SPLK-1004 认证的含金量如何？在就业市场上的价值？
SPLK-1004 是 Splunk 搜索分析方向的顶级认证，含金量很高：(1) 在 Splunk 认证体系中，仅次于 Splunk Enterprise Certified Architect，是证明 SPL 高级技能的最权威认证；(2) 持证者通常担任高级 Splunk 分析师、Splunk 工程师、SOC 高级分析师或安全数据分析师等角色；(3) 在澳洲和北美市场，SPLK-1004 持证者的年薪通常在 $100K-$150K AUD 之间，比仅持有 SPLK-1002 的人高 20-30%；(4) 特别在安全运营（SecOps）和 IT 运维（ITOps）领域，能够编写高效的复杂 SPL 查询和构建数据模型是核心竞争力；(5) 很多企业在招聘 Splunk 专家时将 SPLK-1004 列为优先考虑条件。认证有效期 3 年。
SPLK-1004 考试中搜索性能优化是考点吗？需要了解什么？
是的，搜索性能优化是 SPLK-1004 的重要考点，约占 10-15%。需要掌握：(1) 搜索优化原则：尽早过滤数据（Time range > Index > Source/Sourcetype > Fields），减少需要处理的事件数量；(2) Streaming vs Non-streaming 命令：理解哪些命令可以在 Indexer 上执行（distributed streaming），哪些必须在 Search Head 上执行，以及这对性能的影响；(3) | tstats vs | stats：tstats 查询 TSIDX 文件（加速数据模型或索引时字段）速度极快，适合大数据量场景；(4) Summary Indexing：使用 | collect 命令将预计算结果存入摘要索引，适用于需要长期趋势分析的场景；(5) Report Acceleration：自动缓存报表结果，适用于频繁运行的固定时间范围报表；(6) Job Inspector 的使用：分析搜索的各阶段耗时，找出性能瓶颈。
听听学过的人怎么说
评价加载中…
tstats 是这个考试的灵魂命令 — 至少 10 道题直接或间接考 tstats。如果平时不用 CIM 数据模型，这部分需要专门花时间补。join 命令的性能问题（大数据集上 join 可能超时）也是高频考点。
H. Zhao
Splunk 分析师 @ 金融 SOC · 通过 · 5 周
从第一章，开始你的备考。
前 2 章免费试学 · 完整备考 $29 起