Guide complet SPLK-1002 — Splunk
Splunk Core Certified Power User · Programme, plan de révision, ressources, examen blanc gratuit.
Le SPLK-1002 (Splunk Core Certified Power User) s'adresse aux analystes SOC, ingenieurs SIEM et administrateurs systeme maitrisant deja les bases de Splunk. L'examen comporte 65 questions QCM en 57 minutes, score requis 70%, prix 130 USD via Pearson VUE. Prerequis officiel : detenir le SPLK-1001 (Core Certified User). Debouches : Splunk Analyst, SOC L2, Ingenieur Observabilite, avec salaires entre 50k et 75k EUR en France. Certification associate tres valorisee dans la cybersecurite et l'IT Operations.
Pourquoi passer la certification SPLK-1002 ?
Passer le SPLK-1002 en 2026 represente un investissement strategique dans un marche ou la donnee machine et l'observabilite explosent. Splunk reste leader du Magic Quadrant Gartner SIEM et son rachat par Cisco en 2024 a renforce son adoption en entreprise. La demande pour des Power Users qualifies depasse l'offre : selon LinkedIn, plus de 12 000 offres mentionnent Splunk en Europe en 2026. Le ROI est rapide : un Analyste SOC certifie negocie en moyenne 8 a 15% de salaire en plus. Le SPLK-1002 valide votre capacite a creer des knowledge objects (field extractions, tags, eventtypes, lookups, macros, data models), construire des dashboards interactifs et utiliser le pivot. C'est la cert pivot avant les specialisations Enterprise Security, ITSI ou SOAR. Pour un consultant freelance, le TJM passe de 500 a 700 EUR avec cette certification. Elle differencie egalement sur le CV face a Elastic, Datadog ou Sumo Logic, encore moins demandes sur les appels d'offres regaliens (defense, banque, energie). Avec la directive NIS2 en vigueur, les besoins en analystes SIEM certifies explosent en France.
Caractéristiques de l'examen
| Format | QCM 65 questions a choix unique et multiple |
|---|---|
| Duree | 57 minutes (plus 3 minutes pour l'accord de confidentialite) |
| Score requis | 70% (environ 46 bonnes reponses sur 65) |
| Prix officiel | 130 USD (environ 120 EUR) |
| Langues | Anglais uniquement (pas de version francaise officielle) |
| Validite | 3 ans, renouvellement par re-certification |
| Prerequis | SPLK-1001 Core Certified User obligatoire + Splunk Fundamentals 1 et 2 recommandes |
Programme détaillé par domaine
Domain 1 : Transforming Commands and Visualizations 20%
- Objectifs
- Ce domaine valide la capacite a transformer des resultats de recherche en visualisations exploitables. Le candidat doit maitriser les commandes de transformation SPL (Search Processing Language) qui agregent, regroupent et structurent les donnees pour produire des tableaux et graphiques. L'accent est mis sur la difference entre commandes de streaming et de transformation, ainsi que sur l'impact des commandes sur la performance du search head. La capacite a choisir la bonne visualisation selon le type de donnees (categorielles, temporelles, geographiques) est evaluee.
- Concepts clés
- Commandes chart, timechart, stats, top, rare, geostats avec leurs clauses BY, OVER, SPAN. Comprehension du span temporel (1h, 1d, auto) et de l'option useother. Maitrise des graphiques : column, bar, line, area, pie, scatter, bubble, single value, radial gauge. Difference entre stats et eventstats (streaming vs non-streaming). Utilisation de split-by fields, de la commande iplocation pour la geolocalisation et de la trellis layout pour les dashboards multi-series.
- Services / outils
- Search & Reporting App, Visualization Editor, Job Inspector pour analyser la performance. Modules de chart overlay et de trendline. Integration avec les Custom Visualizations depuis Splunkbase.
- Temps estimé
- 8-10h
Domain 2 : Field Aliases, Calculated Fields and Tags 20%
- Objectifs
- Le candidat doit savoir creer et gerer les knowledge objects qui normalisent les donnees a travers plusieurs sources. L'objectif est de rendre les donnees coherentes pour les recherches transverses, sans modifier la donnee brute indexee. Cela inclut la creation d'alias de champs, de champs calcules via eval, et de tags pour categoriser les evenements ou les valeurs de champs. La gestion des permissions (private, app, global) sur ces objets est centrale.
- Concepts clés
- Field aliases pour renommer src_ip en source_ip selon le Common Information Model (CIM). Calculated fields utilisant eval (ex: bandwidth=bytes/1024). Tags appliques a des paires field=value pour faciliter les recherches (tag=authentication). Eventtypes pour classifier des evenements recurrents avec searches sauvegardees. Order of operations : search-time vs index-time, et impact sur la knowledge object precedence.
- Services / outils
- Settings > Fields > Field aliases, Calculated fields, Tags, Eventtypes. Configuration via props.conf et tags.conf en backend. Common Information Model (CIM) add-on.
- Temps estimé
- 10-12h
Domain 3 : Creating and Managing Macros and Workflow Actions 20%
- Objectifs
- Ce domaine evalue la creation de raccourcis reutilisables pour les recherches SPL repetitives via les macros, et l'integration de Splunk avec des systemes externes via les workflow actions. Le candidat doit comprendre comment parametrer une macro avec des arguments, et comment configurer des actions GET, POST ou Search depuis un evenement.
- Concepts clés
- Macros simples et avec arguments (`mymacro(2)`), validation des arguments via eval. Differences entre macros et savedsearches. Workflow actions de type GET (ouverture d'URL externe avec contexte), POST (envoi de donnees a une API REST) et Search (lancement d'une recherche secondaire). Variables de substitution $field_name$. Configuration via macros.conf et workflow_actions.conf.
- Services / outils
- Settings > Advanced search > Search macros. Settings > Fields > Workflow actions. Integration ServiceNow, JIRA, ticketing systems.
- Temps estimé
- 6-8h
Domain 4 : Creating Data Models and Using Pivot 25%
- Objectifs
- Le domaine le plus pondere : maitriser la modelisation hierarchique des donnees pour permettre aux utilisateurs metier d'explorer sans ecrire de SPL. Le candidat doit savoir construire un data model avec ses objets (root events, root transactions, root searches), ses attributs (auto-extracted, eval, lookup, regex), et l'accelerer via tsidx summary pour des performances optimales.
- Concepts clés
- Datasets hierarchiques avec child objects heritant des contraintes parent. Acceleration des data models (summary indexing) avec retention. Pivot Editor pour generer des rapports sans SPL : split rows, split columns, column values, filters. Commande tstats sur les data models accelerees pour des recherches ultra-rapides. CIM compliance pour normaliser les donnees vers les modeles standards (Authentication, Network Traffic, Web).
- Services / outils
- Settings > Data models, Pivot interface, Common Information Model add-on, tstats command, summary index management.
- Temps estimé
- 12-15h
Domain 5 : Using Lookups and Creating Reports / Dashboards 15%
- Objectifs
- Le candidat enrichit ses donnees avec des lookups (CSV, KV Store, externes) et construit des rapports planifies ainsi que des dashboards dynamiques. Comprendre les automatic lookups, les inputs interactifs (dropdowns, text, time pickers), et le drilldown entre panels.
- Concepts clés
- Lookups CSV statiques, KV Store collections, external scripted lookups. Automatic lookups via props.conf. Commandes lookup, inputlookup, outputlookup. Dashboards XML simples avec form inputs et tokens ($token$). Scheduled reports avec alert actions (email, webhook). Permissions et acceleration des reports.
- Services / outils
- Settings > Lookups, Dashboard Editor (Classic et Studio), Reports management, Alert manager, KV Store collections via REST API.
- Temps estimé
- 8-10h
Plan de révision hebdomadaire
Planning recommande sur 6 semaines a raison de 8-10h hebdomadaires. Semaine 1 : revision des fondamentaux SPL du SPLK-1001 (search, fields, time modifiers, basic stats). Lecture du Splunk Fundamentals 2 eLearning officiel. Installation d'une instance Splunk Enterprise gratuite (500 MB/jour) ou utilisation du Splunk Cloud Trial. Semaine 2 : Domain 1 complet. Pratique intensive sur chart, timechart, stats vs eventstats. Realisation de 20 visualisations differentes sur des donnees de tutorial (tutorialdata.zip). Semaine 3 : Domains 2 et 3. Creation de field aliases, calculated fields et tags sur les donnees de demo. Construction de 5 macros parametrees et 3 workflow actions vers une API publique. Semaine 4 : Domain 4 (le plus important). Construction d'un data model complet de A a Z, acceleration, utilisation du Pivot. Maitrise de tstats sur data models accelerees. Etude approfondie du Common Information Model. Semaine 5 : Domain 5 et integration. Creation de lookups CSV et KV Store, construction de 3 dashboards interactifs avec form inputs et drilldowns. Premier examen blanc Whizlabs ou Skillcertpro. Semaine 6 : revision finale et examens blancs. Realiser 3 a 5 examens blancs en conditions reelles (57 minutes chrono). Reviser les points faibles identifies. Relire les Splunk Docs sur les knowledge objects precedence. Reserver l'examen Pearson VUE 48h avant la date prevue pour eviter le stress.
Besoin d'un planning sur mesure ? 30 jours · 60 jours · 90 jours
Ressources recommandées
Reference absolue. Sections Knowledge Manager Manual et Search Reference sont incontournables pour le SPLK-1002.
Cours officiel eLearning gratuit couvrant 90% du programme. Inclut des labs guides sur instance Splunk fournie.
Environnement de lab gratuit avec 500 MB/jour d'ingestion. Tutorialdata.zip fournit des donnees realistes pour s'entrainer.
Forum officiel tres actif. Section certification regroupe retours d'examen et conseils. Splunk User Groups locaux en France (Paris).
5 erreurs classiques à éviter
- Erreur 1 : Confondre stats et eventstats. stats agrege et reduit le nombre de lignes, eventstats ajoute le resultat agrege sur chaque evenement sans reduction. Tester systematiquement dans le Search & Reporting avant l'examen.
- Erreur 2 : Negliger l'acceleration des data models. Sans acceleration, le Pivot devient inutilisable sur de gros volumes. Toujours comprendre la duree retention et l'espace disque consomme par tsidx summary.
- Erreur 3 : Mauvaise comprehension de la knowledge object precedence. Les objets prives surchargent les objets app qui surchargent les globaux. Une field extraction local masque celle d'une app.
- Erreur 4 : Oublier que l'examen est en anglais uniquement et que les questions utilisent le vocabulaire exact de la doc (splunkd, KO, CIM, tsidx). Reviser le glossaire officiel.
- Erreur 5 : Sous-estimer le temps. 57 minutes pour 65 questions = 52 secondes par question. Ne pas s'attarder sur les questions difficiles, marquer et revenir.
5 questions types corrigées
Carrière & salaire après SPLK-1002
Le SPLK-1002 ouvre des postes Splunk Analyst, SOC Analyst L2/L3, Ingenieur SIEM et Consultant Observabilite. En France en 2026, un Analyste SOC certifie Splunk debute a 42-48k EUR, un Splunk Engineer experimente atteint 60-75k EUR, et un Consultant senior facture 600-800 EUR TJM. A Paris, Lyon et Toulouse, la demande explose chez Orange Cyberdefense, Thales, Capgemini, Sopra Steria et les ESN cybersecurite. Au Luxembourg et en Suisse, ajoutez 25 a 40%. Evolution naturelle : SPLK-2002 (Core Certified Advanced Power User), SPLK-3001 (Enterprise Security Admin), SPLK-3003 (SOAR). Certifications complementaires recommandees : CompTIA Security+, GIAC GCIH, AWS Security Specialty pour couvrir le cloud SIEM.
FAQ — SPLK-1002
Combien de temps faut-il pour preparer SPLK-1002 ?
Entre 50 et 80 heures sur 5 a 8 semaines pour quelqu'un ayant deja le SPLK-1001 et une experience pratique de Splunk. Sans experience, comptez 120 heures.
Cette certification est-elle reconnue en France ?
Oui, tres reconnue dans la cybersecurite et les SOC. Mentionnee dans plus de 8000 offres LinkedIn en France en 2026, particulierement chez les ESN et grands comptes (banques, defense, telco).
Quel est le taux de reussite a SPLK-1002 ?
Environ 65-70% au premier essai selon les retours communautaires. Le taux monte a 85% pour les candidats ayant pratique au moins 40 heures de labs.
Quel est le salaire apres SPLK-1002 ?
En France : 42-55k EUR junior, 55-70k EUR confirme, 70-85k EUR senior. Au Luxembourg : 65-95k EUR. En freelance : TJM de 550-750 EUR.
Faut-il une experience prealable ?
Oui, le SPLK-1001 est prerequis officiel. Une experience pratique de 3 a 6 mois sur Splunk Enterprise ou Cloud est fortement recommandee pour reussir.
SPLK-1002 ou cert concurrente : laquelle choisir ?
Splunk reste leader SIEM. Elastic Certified Analyst est moins valorise sur les appels d'offres. Datadog n'a pas de cert equivalente. SPLK-1002 reste le meilleur choix pour la cyber et l'observabilite enterprise.
Combien coute l'examen SPLK-1002 ?
130 USD (environ 120 EUR) via Pearson VUE. Les vouchers Splunk Partner sont parfois disponibles a 50% lors d'evenements .conf annuel.
Combien de fois peut-on repasser SPLK-1002 ?
Pas de limite mais delai de 7 jours apres premier echec, 14 jours apres le deuxieme, 30 jours ensuite. Chaque tentative est facturee au tarif plein.
Prêt à passer à la pratique ?
Lancez votre examen blanc gratuit ou faites le test d'orientation pour valider votre choix.
Démarrer l'examen blanc SPLK-1002 → Test d'orientation