Palo Alto Networks Certified Security Automation Engineer (PCSAE)

认证概述

PCSAE（Palo Alto Networks Certified Security Automation Engineer）验证候选人能够使用 Cortex XSOAR（前身 Demisto，现已演化为 Cortex XSIAM 平台的核心模块）设计和构建安全编排自动化与响应（SOAR）能力。XSOAR 的核心价值是将 SOC 团队的重复性人工操作（告警分类、IOC 富化、工单创建、通知发送）自动化为 Playbook（自动化剧本），在 alert 触发时秒级完成原本需要分钟甚至小时的操作。PCSAE 考试考察 Playbook 设计、Python 自动化脚本开发、集成配置和 War Room 案例管理，约 80 题/120 分钟/$250 考试费，有效期 2 年。

考试领域

• Playbook 设计与构建：Playbook 任务类型（Manual/Automated/Conditional/Loop/Section）；任务执行逻辑（顺序 Sequential/并行 Parallel/条件分支）；Sub-playbook 模块化设计；Playbook 输入（Input）和输出（Output）配置；Playbook 测试和调试方法（Playground Incident）；Playbook 版本管理（Draft vs Released）
• Python 自动化脚本（Automation Scripts）：Script 与 Command/Integration 的区别；Script 编写规范（demisto.args/demisto.results/demisto.context）；脚本参数类型（String/Boolean/Number/Date/Unknown）；Common Script 库复用（通用功能封装）；Script 调试和错误处理；Docker 镜像选择（不同 Python 库依赖）
• 集成配置（Integration）：Integration Instance 配置（API Key/Token/URL 认证参数）；内置集成（Jira/ServiceNow/Splunk/QRadar/VirusTotal）；REST API 集成（HTTP 请求/响应映射）；测试连接（Test Integration）；集成分类（Endpoint/SIEM/Ticket/Enrichment/Firewall）；长时间运行命令（Long Running Integration）
• Incident 管理：Incident Type 定义（关联 Playbook/字段布局/分类规则）；Incident 字段自定义（Field Types/Associations）；Incident 生命周期（New → Active → Closed）；War Room（实时协作/证据/时间线）；Post Processing Scripts
• 内容管理与平台运维：Content Pack 安装和更新；Marketplace 官方内容目录；XSOAR 用户权限（Roles/RBAC）；平台日志和告警配置；Cortex XSOAR 与 Cortex XSIAM 的关系（XSIAM 集成了 XDR+XSOAR+数据管道）

适合人群

安全自动化工程师（Security Automation Engineer）和 SOC 工程师（SOC Engineer/Architect）负责 Cortex XSOAR/XSIAM 平台的 Playbook 开发和集成配置，以及有 Python 编程基础、希望进入安全自动化（SOAR）专业方向的安全从业者。