先了解这张认证
PCSAE（Palo Alto Networks Certified Security Automation Engineer）验证候选人使用 Cortex XSOAR（原 Demisto，2019 年被 Palo Alto 以 $5.6 亿收购）构建安全编排自动化的能力。考试 80 题 / 120 分钟 / $250 USD，及格线约 70%，有效期 2 年。
XSOAR 的核心是 Playbook — 把告警分类、IOC 富化、工单创建这些 SOC L1 重复操作串成自动化流程。考试围绕四大块：Playbook 设计（顺序/条件/并行任务块、Sub-playbook 模块化）、Python Automation Scripts（demisto.args / demisto.results API、Docker 镜像选择）、Integration 配置（REST API 集成 Jira/ServiceNow/Splunk/VirusTotal）、Incident 管理（字段布局、War Room 协作、Post Processing Scripts）。
Palo Alto 在 2023 年将 XSOAR 整合进 Cortex XSIAM 平台，但 PCSAE 考试内容仍以独立 XSOAR 6.x 为主。实际工作中，掌握 XSOAR Playbook + Python 脚本的人在 SOC 自动化岗位上有明显优势 — 但前提是你的目标公司确实在用 Palo Alto 生态（而不是 Microsoft Sentinel 或 Splunk SOAR）。
考试档案
- 考试代码
- PCSAE
- 发证机构
- 其他
- 题型
- 单选题 / 多选题
- 考试语言
- English
- 证书有效期
- 2 年
- 考试费
- $250
你会学到的技能
学完能做什么
- 获得 Palo Alto Networks PCSAE 官方认证，安全自动化工程师方向权威认证
- 能够独立开发 Cortex XSOAR Playbook：设计自动化响应流程，构建 Sub-playbook 模块库
- 掌握 Python Automation Script 开发，实现自定义数据处理、IOC 富化和跨系统自动化操作
- 配置 XSOAR 与 Jira/ServiceNow/Splunk/SIEM 的双向集成，打通 SecOps 工具链
- 澳洲市场 Security Automation Engineer/SOAR Specialist 薪资区间约 AUD $110,000-$145,000
适合这样的你
- 安全自动化工程师（Security Automation Engineer）负责 Cortex XSOAR/XSIAM 平台的 Playbook 开发和集成配置
- SOC 工程师（SOC Engineer/Architect）希望通过 SOAR 自动化减少重复性告警处理工作
- 有 Python 编程基础、希望进入安全自动化（SOAR）专业方向的安全从业者
- 已持有 PCDRA 认证，希望进一步掌握自动化响应（IR Automation）能力的安全工程师
开始前需要什么
- 具备 Python 基础编程能力（变量/条件/循环/函数/字典）— Automation Script 开发的核心前提
- 了解 REST API 基础（HTTP Methods/JSON/认证 Token/Bearer）
- 熟悉安全运营基础概念（Incident Response 流程、Playbook 理念、SIEM/SOAR 区别）
- 建议有 3-6 个月 Cortex XSOAR 平台实际使用经验
- 了解 SOC 工具生态（Jira/ServiceNow/Splunk/VirusTotal）有助于理解集成配置
这些情况建议先考虑其他路径
- 不写代码的安全管理岗位 — PCSAE 有大量 Python 和 API 内容
- 目标公司用 Microsoft Sentinel 或 Splunk SOAR 的人 — 厂商绑定太强
- 纯网络方向（路由交换、防火墙策略）— PCNSA 或 PCNSE 更对口
一步一步，准备好考试
5 个章节 · 学习路径
安排你的备考
- 课程学习时长
- 40h
- 有相关实操经验
- 4-6 周
- 从基础开始
- 8-12 周
- 建议日投入
- 1-2h
备考支持
- Playbook 设计专项：顺序/并行/条件/循环任务块，Sub-playbook 模块化设计，Input/Output 参数配置
- Python Automation Script 开发：demisto.args/results/context API 使用，Docker 镜像选择，调试方法
- 136+ 精选 PCSAE 场景题，覆盖集成配置（REST API/Jira/ServiceNow）和 Incident Type 字段布局设计
- War Room 案例协作：实时协作/证据收集/时间线管理，XSOAR vs XSIAM 的关系和演进路径
- 仿真模拟考试（80 题/120 分钟），SOAR/安全自动化工程师是全球 SOC 团队需求增长最快的岗位之一
1. 第一阶段：XSOAR Playground 上手（1-2 周）
注册 Palo Alto Cortex XSOAR Free Edition（社区版，功能受限但够练）。第一周目标：创建一个 Incident Type，手动触发一个 Playbook，看 War Room 里的执行日志。重点理解 Task 类型（Manual/Automated/Conditional）和 Context Data 的概念。
2. 第二阶段：Playbook + Integration 系统学习（2-3 周）
按 Palo Alto 官方 EDU-380 课程大纲走。核心要掌握：Sub-playbook 输入输出传递、Conditional Task 的过滤器语法（!val/DT 表达式）、Integration Instance 的 Classifier/Mapper 配置。每学完一个模块立刻在 Playground 里复刻。
3. 第三阶段：Python Automation Scripts 专项（1-2 周）
考试里 Python 脚本题占约 20%。必须掌握 demisto.args()、demisto.results()、demisto.executeCommand() 三个核心 API。练习写一个从 VirusTotal 查 hash 并更新 Incident Context 的脚本。Docker 镜像选择题也是高频考点（demisto/python3 vs demisto/crypto）。
4. 第四阶段：模考 + 错题回顾（1 周）
Palo Alto 官方没有公开题库，Beacon 平台有少量模拟题。重点回顾：Playbook 调试方法（Debug mode vs Playground Incident）、Integration 错误排查流程（Test button → War Room logs → Docker logs）、Incident Field 的 Association 逻辑。
这张认证的职业价值
XSOAR 在 Gartner 2024 SOAR 市场分析中仍排前三，但岗位数量上 Microsoft Sentinel + Logic Apps 和 Splunk SOAR 的招聘 JD 更多。LinkedIn 上搜 "XSOAR Engineer" 澳洲全国不到 30 个活跃岗位，美国约 200-300 个。
PCSAE 最大的价值是给 SOC L1/L2 往 Automation 方向转型提供一个证明 — 尤其是你已经在用 XSOAR 的团队里。拿到 PCSAE 后再补一个 Python 中级水平（能写 async HTTP 调用和 JSON 解析），就能胜任大多数 SOAR 工程师岗位。
不适合的人：纯网络工程师（PCNSA/PCNSE 更对口）、不写代码的安全管理者（CCISO 更合适）、目标公司不用 Palo Alto 产品的人。
- 澳洲
- AUD 120,000 – 170,000
- 美国
- USD 110,000 – 160,000
- 新加坡
- SGD 85,000 – 130,000
备考时，做好这些事
- **先做 Playbook 设计题** — 这部分占比最高（约 30-35%），通常是看一个 Playbook 截图判断执行路径或找错误。
- **Python 题注意 return 格式** — demisto.results() 接受 dict 或 list，但 CommandResults 对象才是推荐的新写法。考试两种都会出。
- **Integration 测试流程必背** — Test button → Check War Room → Check Docker logs → Check API credentials，这个排查顺序考过多次。
这些误区要避开
- **只用 GUI 不碰 Python** — Playbook 可视化编辑器很方便，但考试约 20% 是 Python 脚本题，demisto.args() 和 demisto.results() 的用法必须手写。
- **混淆 Classifier 和 Mapper** — Classifier 决定 Incident Type（分类），Mapper 决定字段映射。两者都在 Integration Instance 上配置，但作用完全不同。
- **忽略 Context Data 的 DT 表达式** — 考试会考 `${incident.labels.value}` 和 `!val.toUpperCase()` 这类语法，不练就抓瞎。
报名之前，你可能想问
PCSAE 考试难度如何？
PCSAE 考试涵盖 XSOAR/Cortex XSIAM 安全编排自动化与响应（SOAR）平台的设计、部署和自动化剧本开发，考试时长 120 分钟，建议有 3-6 个月的系统备考时间。通过本课程的系统练习，可以有效提升通过率。
考试费用是多少？
PCSAE 考试费用为 $250 USD。认证有效期为 2 年，到期后需要重新认证。
PCSAE 认证适合什么背景的人？
适合安全自动化工程师、SOAR 平台管理员以及希望通过自动化提升安全运营效率的 SecOps 专业人员。
如何高效使用本课程备考？
建议先完成所有章节的学习，再通过模拟考试检验薄弱环节，最后利用错题本进行针对性复习。每天投入 1-2 小时，持续 4-8 周即可做好充分准备。
听听学过的人怎么说
评价加载中…
我们公司用 XSOAR 做告警自动化，日常工作就是改 Playbook，所以备考的东西大部分已经见过。坑在 Python 脚本题 — 我平时都用 GUI 拖拽，很少写 demisto API，结果这部分差点挂。建议就算日常不写代码也要把脚本 API 过一遍。
SOC L2 分析师 3 年
MSSP 安全运营 · 约 78% · 6 周
零 XSOAR 经验从头学。最大的挑战是理解 Context Data 和 DT（Demisto Transform）表达式 — 这套语法跟 JSONPath 类似但又不完全一样，官方文档写得也不够清楚。最后靠在 Playground 里反复试才搞明白。
R. Chen
DevSecOps Engineer · 10 周
从第一章，开始你的备考。
前 2 章免费试学 · 完整备考 $39 起