Fiecare căutare SPL urmează un format structurat în pipeline, unde comenzile sunt legate între ele folosind pipes (|).

Sintaxa de bază a unei interogări SPL

• index=<index_name> sourcetype=<source_type> | <commands>
  • index=test_index → Caută loguri stocate în test_index.
  • sourcetype=access.log → Filtrează rezultatele doar pentru access_combined_wcookie logs.
  • | stats count by action → Agregă și numără logurile în funcție de acțiunea efectuată de utilizator.

Acest model de interogare permite utilizatorilor să aplice filtre, analize și vizualizări avansate asupra datelor indexate în Splunk.