Palo Alto Networks Certified Cloud Security Engineer (PCCSE)

认证概述

PCCSE（Palo Alto Networks Certified Cloud Security Engineer）验证你能够配置、操作和排错 Prisma Cloud 多云安全平台。Prisma Cloud 提供三大核心能力：CSPM（Cloud Security Posture Management，云配置错误和合规检查）、CWPP（Cloud Workload Protection Platform，工作负载运行时保护）和 CIEM（Cloud Identity and Entitlement Management，云权限风险管理）。PCCSE 考试侧重实操配置，包括 Defender 的部署类型选择、告警策略配置、合规基线设置和 Kubernetes 安全策略，约 80 题/120 分钟/$250 考试费，有效期 2 年。

考试领域

• CSPM 云安全态势管理：Prisma Cloud 接入多云账户（AWS Organization/Azure Management Group/GCP Organization）；Config Policy（配置检查策略：L1 基础/L2 自定义/Build-time IaC 扫描）；Anomaly Policy（异常行为检测策略，基于 ML 的网络异常和 UEBA）；Alert 生命周期（Open → Resolved/Snoozed/Dismissed）；合规框架配置（CIS/NIST/PCI-DSS/HIPAA/GDPR/ISO 27001 等 20+ 框架）
• CWPP 云工作负载保护：Defender 类型选择（Container Defender/Host Defender/Serverless Defender/App-Embedded Defender/Agentless Scanner）；Defender 部署方式（DaemonSet/Helm Chart for K8s/Manual for Host）；Vulnerability Management（漏洞优先级：CVE 严重性 + 可利用性 + 资产重要性）；Runtime Defense（容器/主机/网络异常行为检测，Audit Event 分类）；Compliance（CIS Benchmark for Docker/K8s 自动检查）
• 容器和 Kubernetes 安全：Admission Control（准入控制，拦截不符合策略的 Pod 创建）；Network Firewall（微分段，容器到容器的东西向流量控制）；Web Application and API Security（WAAS，内嵌应用防火墙）；Kubernetes 审计日志集成；Image 扫描（Registry 扫描/CI Pipeline 扫描/运行时扫描）
• IaC 安全与 DevSecOps 集成：Checkov 开源 IaC 扫描工具；Prisma Cloud Code Security 模块（Terraform/CloudFormation/Kubernetes YAML 扫描）；CI/CD 集成（GitHub Actions/Jenkins/GitLab CI）；Secret 密钥扫描；SBOM（Software Bill of Materials）生成
• CIEM 云身份权限管理：Net Effective Permissions 净有效权限分析；Unused Permissions 识别（90 天未使用权限建议删除）；Privileged Access 告警（过度授权的 IAM Role/User）；JIT（Just-In-Time Access）最小权限访问

适合人群

云安全工程师（Cloud Security Engineer）和 DevSecOps 工程师负责企业多云环境的 Prisma Cloud 平台配置与维护，以及希望在公有云安全领域（AWS/Azure/GCP）获得 Palo Alto 官方认证的安全专业人员。