Understand the certification
PCCSE（Palo Alto Networks Certified Cloud Security Engineer）验证候选人使用 Prisma Cloud 平台保护多云环境的能力。考试 80 题 / 120 分钟 / $250 USD，有效期 2 年。
Prisma Cloud 是 Palo Alto 通过收购 RedLock（CSPM）、Twistlock（容器安全）、PureSec（Serverless 安全）和 Bridgecrew（IaC 扫描）整合而成的 CNAPP（Cloud Native Application Protection Platform）。PCCSE 考试覆盖 Prisma Cloud 的五大模块：Cloud Security Posture Management (CSPM) — 合规检查、Alert 规则、RQL 查询语言；Cloud Workload Protection (CWP) — Defender 部署（DaemonSet/Sidecar）、漏洞扫描、运行时防护；Cloud Code Security — IaC 扫描（Terraform/CloudFormation）、Git 仓库集成；Cloud Network Security — 微分段策略、网络可视化；Cloud Identity Security — IAM 过度授权检测。
Prisma Cloud 在 Gartner 2024 CNAPP 魔力象限排 Leader，但市场竞争激烈 — Wiz、Orca、Lacework 都在抢份额。PCCSE 对使用 Prisma Cloud 的企业有直接价值，但不像 AWS SCS-C02 那样有平台通用性。
Exam at a glance
- Exam code
- PCCSE
- Provider
- 其他
- Format
- Single choice / Multiple select
- Language
- English
- Validity
- 2 years
- Exam fee
- $250
Skills in focus
Learning outcomes
- 获得 Palo Alto Networks PCCSE 官方认证，Prisma Cloud 平台工程师资质
- 能够独立配置 Prisma Cloud CSPM/CWPP/CIEM 三大模块，实现多云安全态势管理
- 部署 Kubernetes Defender（DaemonSet/Helm）和 Agentless 扫描，覆盖容器全生命周期安全
- 将 Checkov IaC 扫描集成到 GitHub/Jenkins CI/CD 流水线，实现 Shift Left 安全
- 澳洲市场 Cloud Security Engineer/DevSecOps Engineer 薪资区间约 AUD $110,000-$150,000
Who this is for
- 云安全工程师（Cloud Security Engineer）负责企业 Prisma Cloud 平台的配置、维护和合规报告
- DevSecOps 工程师将安全扫描（IaC/容器镜像）集成到 CI/CD 流水线（GitHub Actions/Jenkins/GitLab CI）
- Kubernetes 平台管理员（Platform Engineer）希望部署 Prisma Cloud Defender 保护容器工作负载
- 已有 AWS/Azure/GCP 云安全经验、希望获得 Palo Alto Prisma Cloud 官方认证的安全专业人员
Before you start
- 了解公有云基础服务（AWS VPC/IAM/EC2/S3、Azure AD/VNET、GCP Projects/IAM）
- 具备 Kubernetes 和容器基础知识（Pod/Namespace/RBAC/DaemonSet 概念）
- 了解云安全基础概念（CSPM/CWPP/CIEM/DevSecOps/IaC）
- 建议有 3-6 个月 Prisma Cloud 平台实际使用经验
- 了解 CI/CD 流水线基础（GitHub Actions/Jenkins 集成经验有帮助）
Your learning path
6 chapters
Plan your preparation
- Learning hours
- 40h
- With relevant experience
- 6-8 weeks
- Starting from scratch
- 12-16 weeks
- Daily study
- 1-2h
Included in your preparation
- CWPP Defender 选型专项：Container/Host/Serverless/App-Embedded/Agentless 五种类型的部署场景和优劣对比
- CSPM 合规配置：20+ 合规框架（CIS/NIST/PCI-DSS/HIPAA/GDPR）设置、Alert Rule 配置和通知集成（Jira/ServiceNow）
- 235+ 精选 PCCSE 场景题，覆盖 Kubernetes 准入控制、网络微分段和 BIOC 运行时检测规则
- IaC 安全集成：Checkov 开源工具、Prisma Cloud Code Security 模块和 CI/CD PR 扫描配置
- 仿真模拟考试（80 题/120 分钟），Prisma Cloud 是澳洲企业云安全合规的主流平台选择
1. 第一阶段：Prisma Cloud 控制台熟悉（1-2 周）
申请 Prisma Cloud 30 天试用，连接一个 AWS 或 Azure 账号。第一周跑通 CSPM 流程：Onboard Cloud Account → 查看 Compliance Dashboard → 创建一条自定义 Alert Rule → 用 RQL 查询 config from cloud.resource where 搜一个 S3 bucket。
2. 第二阶段：CSPM + RQL 深入（2-3 周）
RQL（Resource Query Language）是 PCCSE 考试的重点，类似 SQL 但语法独特。必须掌握三种查询类型：config from（资源配置）、network from（网络流）、event from（审计日志）。每种至少写 10 个不同查询，练到能手写 config from cloud.resource where api.name = 'aws-ec2-describe-security-groups' AND json.rule = ... 这种级别。
3. 第三阶段：CWP + Code Security（2 周）
在 K8s 集群上部署 Defender（DaemonSet 模式），观察漏洞扫描和运行时保护的工作方式。Code Security 部分重点是 Checkov（Bridgecrew 的开源 IaC 扫描工具）与 Prisma Cloud 的集成 — 考试会考 Terraform plan 扫描的配置流程。
4. 第四阶段：模考复习（1-2 周）
Palo Alto Beacon 平台的 PCCSE 模拟题是最接近真实考试的资源。重点回顾 CSPM Alert 规则的优先级逻辑、Defender 类型选择（Container/Host/Serverless/App-Embedded）、Compliance Framework 的映射关系。
Career value
Prisma Cloud 是 Palo Alto 增长最快的产品线（FY2024 ARR 超过 $4B），但 CNAPP 市场竞争极其激烈。LinkedIn 上搜 "Prisma Cloud" 的澳洲岗位约 40-60 个，美国约 300-500 个，但很多 JD 写的是 "CNAPP experience" 而非 "PCCSE required"。
这张证最适合两类人：1) 已经在用 Prisma Cloud 的团队成员，考证能证明你掌握了整个平台（CSPM + CWP + Code Security）；2) 云安全咨询师，需要 Palo Alto Partner 认证来投标项目。
不适合的人：纯 AWS/Azure 原生安全方向（考对应云厂商的安全认证更实用）、不接触云工作负载的传统安全岗位。
- 澳洲
- AUD 140,000 – 185,000
- 美国
- USD 130,000 – 180,000
- 新加坡
- SGD 95,000 – 145,000
Preparation tips
- **RQL 查询题手写练习** — 考前一周每天写 5 条 RQL，覆盖 config/network/event 三种类型。
- **Compliance Framework 映射背常见的** — CIS Benchmark、SOC 2、HIPAA、PCI-DSS 在 Prisma Cloud 里的预置 Policy 对应关系。
- **Defender 部署决策树** — K8s 用 DaemonSet、ECS Fargate 用 App-Embedded、EC2 用 Host Defender、Lambda 用 Serverless Defender。这个选型逻辑考了多次。
Common mistakes
- **RQL 语法死记硬背** — 不在控制台练直接背语法，上考场根本写不出来。RQL 的 `json.rule` 过滤器嵌套逻辑、`addcolumn` 函数这些只有动手才能掌握。
- **混淆 CSPM 和 CWP 的 Alert 机制** — CSPM Alert 基于 Policy（合规基线），CWP Alert 基于 Runtime Rule（运行时行为检测）。两套系统独立运作，考试爱出场景题让你判断用哪个。
- **忽略 Compute 模块的 Defender 选型** — Container Defender (DaemonSet) vs Host Defender vs App-Embedded Defender 的差异是高频考点，尤其是 Serverless 场景用 App-Embedded 而不是 DaemonSet。
Before you register
How difficult is the PCCSE exam?
The PCCSE exam covers Prisma Cloud platform topics including cloud security architecture, compliance governance, and runtime protection. The exam is 120 minutes long, and 3-6 months of systematic preparation is recommended. Our practice questions can significantly improve your pass rate.
How much does the exam cost?
The PCCSE exam fee is $250 USD. The certification is valid for 2 years, after which recertification is required.
Who is the PCCSE certification suitable for?
It is ideal for engineers with cloud security experience who are familiar with the Prisma Cloud platform, as well as DevSecOps practitioners seeking an authoritative certification in multi-cloud/hybrid cloud security.
How can I use this course effectively to prepare?
We recommend completing all chapters first, then using mock exams to identify weak areas, and finally reviewing mistakes with the smart review feature. Dedicating 1-2 hours daily for 4-8 weeks should prepare you thoroughly.
Learner experiences
Loading reviews…
公司从 AWS-native security 迁到 Prisma Cloud，我负责整个迁移。考试比预期难 — RQL 查询题占了约 25%，不是选选关键词那种，是给你一个安全需求让你写完整查询。建议在 Prisma Cloud 控制台多练 Investigate 页面的 RQL。
DevSecOps 工程师 2 年
金融科技公司 · 约 80% · 8 weeks
我是做 Palo Alto Partner 认证的，PCCSE 是 Partner 等级要求之一。CWP 部分最难 — Defender 的四种部署类型（Container/Host/Serverless/App-Embedded）各自的限制和适用场景必须分清楚，考了 5-6 道。
W. Tan
Cloud Security Consultant · 10 weeks
Start with the first chapter.
2 free chapters · Full preparation from $39