Palo Alto Networks Certified Detection and Remediation Analyst (PCDRA)

认证概述

PCDRA（Palo Alto Networks Certified Detection and Remediation Analyst）验证候选人能够使用 Cortex XDR 平台进行威胁检测、事件调查和端点修复响应。Cortex XDR 将端点保护（EPP）、端点检测与响应（EDR）和网络分析整合在一起，通过 Cortex Data Lake 统一存储来自端点、网络和云的安全遥测数据。PCDRA 考试以 SOC 分析师的实际工作流程为主轴：从 Alert 生成 → Incident 聚合 → 告警调查 → BIOC 自定义规则 → XQL 查询取证 → 端点响应操作（隔离/修复）。约 80 题/120 分钟/$250 考试费，有效期 2 年。

考试领域

• Cortex XDR 平台架构：Cortex XDR 数据采集来源（Cortex XDR Agent 端点遥测 + PAN-OS 网络日志 + 第三方 SIEM 日志）；Cortex Data Lake 的存储和查询架构；Prevention Mode vs Detection Mode 的区别；XDR Agent 安装类型（Windows/Mac/Linux/VDI）；Cortex XDR 管理控制台功能模块
• 告警与事件管理：Alert 来源（XDR Agent 检测/Analytics/BIOC/网络告警）；Incident 聚合逻辑（Cortex XDR 将相关 Alert 自动聚合为 Incident，减少告警噪音）；Incident 严重级别评估（High/Medium/Low）；Alert 状态管理（New/Under Investigation/True Positive/False Positive）；SLA 和 MTTR 追踪
• BIOC 行为 IOC 自定义规则：BIOC（Behavioral Indicators of Compromise）与传统 IOC（Hash/IP/Domain）的区别（基于行为序列 vs 基于已知特征）；BIOC 规则创建（XQL 查询 + 触发条件 + 严重级别）；BIOC 规则测试和调试；BIOC vs 告警策略（Alert Rules）的适用场景；MITRE ATT&CK 框架与 BIOC 规则映射
• XQL 查询语言：XQL 基本语法（dataset 选择 → filter → fields → groupby → sort → limit）；常用 dataset（xdr_data/endpoint/process/network/registry/file）；时间过滤和关联查询；XQL 取证场景（进程父子链查询/横向移动检测/数据泄露识别）；预置查询模板和自定义查询保存
• 端点响应操作：端点隔离（Network Isolation：阻断网络 + 保留 XDR 通道）；远程命令执行（Live Terminal/Script Runner）；文件取证（File Retrieval）；恶意软件修复（Remediation）；Quarantine 文件管理；端点扫描任务

适合人群

SOC 分析师（SOC Analyst Tier 1/2）使用 Cortex XDR 平台处理日常安全告警，以及事件响应工程师（Incident Response Engineer）在企业内部负责端点威胁检测与取证分析的安全专业人员。