ServiceNow CIS-SIR 认证指南 2026 — 考试详情、费用与备考攻略

先了解这张认证

认证概述

ServiceNow Certified Implementation Specialist - SIR（CIS-SIR）验证你能在 ServiceNow 上实施 Security Operations（SecOps）中的 Security Incident Response（SIR）和 Vulnerability Response（VR）模块。SIR 将 SIEM 工具（Splunk/QRadar/Microsoft Sentinel）产生的安全告警导入 ServiceNow，由 SOC 分析师在 ServiceNow 的 Security Incident 工作台中处理：分类安全事件、关联威胁情报（IOC 匹配）、执行 Playbook（自动化响应步骤）、追踪修复进度。Vulnerability Response 模块则将 Qualys/Tenable 等漏洞扫描器的结果导入 CMDB，与 CI 关联后创建 Remediation Task 分配给修复团队。考试以场景题为主，需要具备信息安全基础知识。60 题、90 分钟、及格线 70%，$250 考试费。

考试领域

Security Incident Response（SIR）：安全事件完整生命周期 —— Event/Alert 导入 → Security Incident 创建（手动或自动）→ 分类与优先级（Impact × Urgency 矩阵）→ Investigation（调查，关联 Observables 和 IOC）→ Containment（遏制）→ Eradication（根除）→ Recovery（恢复）→ Post-Incident Review（事后分析）；自动化事件创建规则；SLA 和升级配置；Major Security Incident 管理
威胁情报（Threat Intelligence）：Threat Intelligence 数据源集成（STIX/TAXII 协议、第三方 Feed 导入）；Observable Types（IP Address/Domain/File Hash/URL/Email Address 等）管理；IOC（Indicators of Compromise）匹配规则 —— 将 Security Incident 中的 Observables 与已知恶意 IOC 匹配；Sighting 记录自动生成；Threat Lookup 功能
漏洞响应（Vulnerability Response）：第三方扫描器集成方式 —— Qualys、Tenable（Nessus）、Rapid7 的数据导入；Vulnerable Items 的创建、分组和优先级排序；Remediation Tasks 分配与追踪；Exception 处理（接受风险/推迟修复）；Vulnerability Calculator（结合 CVSS 和业务影响计算综合评分）；与 CMDB CI 的关联
安全运营配置（SecOps Configuration）：SOC Workspace 界面配置；Playbooks（自动化响应步骤，类似 Flow Designer 的安全版本）；Security Incident SLA 配置；事件分类（Category/Subcategory）规则；SIEM 集成（Connector 配置）
报表与仪表板（Reporting & Dashboards）：Security Posture Dashboard；Performance Analytics for SecOps；MTTD（平均检测时间）和 MTTR（平均响应时间）指标

适合人群

ServiceNow SecOps 实施顾问（ServiceNow SecOps Consultant）在企业 SOC 数字化转型中负责 SIR/VR 模块实施，以及信息安全工程师（Information Security Engineer）希望获得 ServiceNow 安全运营官方认证的从业者。

考试档案

考试代码: CIS-SIR
发证机构: 其他
题型: 单选题 / 多选题
考试语言: English
证书有效期: 3 年
考试费: $250

官方认证说明

你会学到的技能

Security Incident ResponseVulnerability ResponseThreat IntelligenceIOCObservablesSTIXTAXIIPlaybooksSIEM IntegrationQualys IntegrationTenable IntegrationCVSSRemediation TasksSOC WorkspaceSecurity Posture DashboardMITRE ATT&CK

学完能做什么

获得 ServiceNow Certified Implementation Specialist - SIR（CIS-SIR）认证
能够独立实施 ServiceNow Security Operations：SIR 生命周期配置、Playbooks 设计、SIEM 集成
配置 Threat Intelligence 数据源和 IOC 匹配规则，实现威胁情报与安全事件的自动关联
实施 Vulnerability Response 模块：扫描器集成、Remediation Task 工作流、Exception 审批流程
澳洲市场 ServiceNow SecOps Consultant 薪资区间约 AUD $110,000-$150,000

适合这样的你

ServiceNow SecOps 实施顾问（ServiceNow SecOps Consultant）在企业 SOC 数字化转型中负责 SIR/VR 模块实施
信息安全工程师（Information Security Engineer）希望将安全事件响应流程迁移到 ServiceNow 平台
SOC 分析师（SOC Analyst）日常使用 ServiceNow Security Operations 处理安全事件，希望获得官方认证
已持有 CSA 认证，具备信息安全背景、希望进入 ServiceNow 安全运营专业方向的从业者

开始前需要什么

建议先持有 ServiceNow CSA 认证
具备信息安全基础知识（NIST Incident Response Framework、MITRE ATT&CK 框架基本概念）
6 个月以上 ServiceNow Security Operations 模块实际使用经验
了解 SIEM 工具（Splunk/QRadar/Microsoft Sentinel）的基本工作原理
熟悉漏洞管理流程（了解 CVSS 评分和 Qualys/Tenable 扫描器的基本概念）

一步一步，准备好考试

3 个章节 · 学习路径

01CIS-SIR 考试概述与备考指南免费试学02核心知识点免费试学03考前冲刺与实战演练60 min

查看完整学习路径

安排你的备考

课程学习时长: 20h
有相关实操经验: 8-10 周
从基础开始: 12-16 周
建议日投入: 1-2h

备考支持

安全事件生命周期全流程：Event → Security Incident → Investigate → Contain → Eradicate → Recovery → Post-Incident Review
威胁情报专项：STIX/TAXII 集成、Observable Types 管理、IOC 匹配规则和 Sighting 自动生成
113+ 精选安全运营场景题，覆盖 Vulnerability Response（漏洞响应）和 Playbooks 自动化配置
漏洞响应专项：Qualys/Tenable/Rapid7 扫描器集成、Remediation Task 分配、Exception 处理流程
仿真模拟考试（60 题/90 分钟，及格线 70%），建议模拟考试稳定 78% 以上

备考时，做好这些事

60 题 90 分钟，平均每题 2 分钟，合理分配时间
及格分 70/100，不确定的题先标记跳过，回头再做
排除法非常有用 — 先排掉明显错误的选项，剩下的再分析
多选题会告诉你选几个，仔细看题目要求

这些误区要避开

没有读完所有选项就选答案 — 题目经常有"最佳"答案和"正确但不最佳"的干扰项
备考只刷题不理解原理 — 考试场景题需要理解底层概念
忽略时间管理 — 在难题上卡太久，导致后面简单题没时间做

报名之前，你可能想问

CIS-SIR 考试的主要考试领域有哪些？

考试涵盖 Security Incident Response（安全事件创建、分类、优先级、生命周期管理）、Threat Intelligence（威胁情报源集成、IOC 匹配、Observable 管理）、Vulnerability Response（漏洞导入、分组、修复工作流）、Security Operations Configuration（SOC 工作区配置、Playbooks、SLA 管理）、Integration & Data Sources（SIEM 集成、数据摄入、API 配置）以及 Reporting & Dashboards（Performance Analytics、Security Posture 仪表板）。60 道题，90 分钟，及格线 70%。

Security Incident Response 的生命周期在考试中怎么考？

需要掌握安全事件的完整生命周期：从 Event/Alert 触发 → Security Incident 创建 → 分类与优先级评估（基于 Impact 和 Urgency）→ Investigation（调查分析）→ Containment（遏制）→ Eradication（根除）→ Recovery（恢复）→ Post-Incident Review（事后复盘）。考试重点包括自动化事件创建规则、SLA 配置、以及事件升级条件的设置。

Threat Intelligence 和 Observable 相关的考试重点是什么？

需要了解 Threat Intelligence 源的配置（STIX/TAXII 协议集成、第三方 Feed 导入）、Observable Types（IP Address、Domain、File Hash、URL 等）的管理、IOC（Indicators of Compromise）匹配规则、以及 Threat Lookup 功能的使用。考试常考如何将威胁情报与安全事件关联，以及 Sighting 记录的自动生成逻辑。

CIS-SIR 考试对 Vulnerability Response 考查深度如何？

漏洞响应是重要考试领域。需要掌握漏洞数据导入方式（第三方扫描器集成如 Qualys、Tenable、Rapid7）、Vulnerable Items 的分组与优先级排序、修复工作流（Remediation Tasks 分配与追踪）、Exception 处理流程，以及漏洞与 CMDB CI（Configuration Items）的关联方式。理解 Vulnerability Calculator 的评分逻辑也很重要。

备考 CIS-SIR 需要什么前置知识和认证？

ServiceNow 建议先取得 Certified System Administrator (CSA) 认证。此外需要具备信息安全基础知识（了解 NIST Incident Response Framework、MITRE ATT&CK 框架基本概念）以及 ServiceNow 平台基础（Workflows/Flow Designer、ACLs、Notifications、SLAs）。建议有至少 6 个月的 ServiceNow Security Operations 模块实际使用经验。

70% 的及格线在 ServiceNow 认证中算高吗？

CIS-SIR 的 70% 及格线在 ServiceNow CIS 系列中属于标准水平，但由于涉及安全运营的专业性（威胁情报、事件响应流程、漏洞管理），对非安全背景的考生挑战较大。题目多为场景分析题，考查在给定安全事件场景下的正确处置流程和平台配置方式。建议模拟考试稳定在 78% 以上再参加正式考试。

听听学过的人怎么说

评价加载中…

从第一章，开始你的备考。

前 2 章免费试学 · 完整备考 $39 起

进入学习路径

ServiceNow CIS-SIR