用途
本技能面向 Splunk 搜索时字段提取与 CIM 规范化工作，主要产出有文档依据、有证据约束的指导性文本：字段提取指导、提取草稿、语义 CIM 映射、验证步骤以及规范化缺口诊断。技能本身只生成文本产物，不会对 Splunk 环境进行认证、修改、安装或部署。
主要能力
- 选择提取机制：在自动键值提取、正则或分隔符提取、内联 EXTRACT、可复用 REPORT 配合 transforms.conf、临时 SPL 命令之间，按事件形态选择有文档支持的机制，并区分持久化知识对象与搜索本地 SPL。
- 编写证据约束的提取：在提供代表性事件与目标字段时，给出具体的 props.conf、transforms.conf 或 SPL，并说明其与事件形态匹配的理由，同时标注关于 sourcetype、应用上下文、分隔符、基数、多值行为以及持久搜索时与临时作用域的假设。
- 构建语义 CIM 映射计划：命名目标 CIM 数据集，按源字段语义而非名称相似性进行映射；在证据允许时区分必需字段、推荐或预期字段、必需标签、数据集约束、别名、计算字段、查找、事件类型、富化与值规范化。
- 定义或评估验证：给出常规搜索字段检查、Pivot/Datasets、datamodel 或 from datamodel、datamodelsimple、或 CIM Validation 数据模型的 Missing Extractions 与 Untagged Events 数据集等检查路径，并说明预期成功证据。
- 诊断规范化缺口：把每个疑似缺失或错误的提取、别名、查找、标签、事件类型、计算字段或 CIM 映射，与所提供的原始事件、配置片段、字段输出或数据模型验证结果关联起来。
使用方式
使用前需要提供与待决问题相关的材料：代表性脱敏原始事件（含有意义的边界情况）、sourcetype 及相关当前 props.conf、transforms.conf、SPL、别名、计算字段、查找、事件类型与标签、期望的源字段及其含义、目标 CIM 数据集及已安装 CIM 版本或模型细节、Splunk 产品与版本、持久化范围、应用上下文以及配置或路由依赖的部署拓扑、以及诊断或声称验证时的字段、搜索或数据模型验证输出。信息不完整时，技能会保留所有受支持的客观事实，将缺失字段或构件标记为未知，并只限制受影响的结论。它不会虚构事件结构或字段含义，并会明确区分所提供的观察、有文档的事实、假设、临时结论和未验证步骤。
适用场景
- 为给定的脱敏事件与字段选择持久化提取方式。
- 将现有字段映射到 Authentication CIM 数据集。
- 依据所提供的配置评估 Missing Extractions 结果。
限制
技能将提取编写与 CIM 映射语义保留在自身范围内，仅将跨越边界的工作转出：治理、所有权、命名、打包策略与生命周期决策转交知识对象治理；源接入传输、HEC、令牌与索引路由转交相应摄取负责人；加速设计、tstats 调优、摘要与加速故障转交数据模型与搜索加速；无关的搜索或仪表板修复转交其故障排查负责人；应用安装、受管云变更、集群捆绑、审批与生产部署转交相应的 Splunk 操作人员。在没有直接证据时，不会声称运行时验证、发布就绪、普遍性、跨系统关联、遥测基线或回滚就绪。验证类回答有字数与步骤限制：仅验证的回答不超过 900 词，使用最多五个聚焦的验证步骤和一份紧凑的预期证据清单。