Understand the certification
PCDRA（Palo Alto Networks Certified Detection and Remediation Analyst）验证使用 Cortex XDR 平台进行威胁检测、事件调查和端点修复的能力。80 题 120 分钟，70% 通过（满分 1000），$250 考试费，有效期 2 年。
和 PCCET 纯概念不同，PCDRA 是一门产品实操考试。它以 SOC 分析师的日常工作流为主轴：Alert 生成 → Incident 聚合 → BIOC 自定义规则编写 → XQL 查询取证 → 端点隔离/修复。你需要能在 Cortex XDR 控制台上完成完整的事件调查闭环。
XQL（XDR Query Language）是考试的核心考点，约占 25% 题量。XQL 语法类似 SQL 但作用于安全遥测数据：dataset = xdr_data | filter event_type = PROCESS | fields agent_hostname, action_process_name | sort _time desc。BIOC（Behavioral Indicators of Compromise）规则是另一个重点 — 它让你基于行为序列（而不是静态 IOC）创建自定义检测逻辑。
Exam at a glance
- Exam code
- PCDRA
- Provider
- 其他
- Format
- Single choice / Multiple select
- Language
- English
- Validity
- 2 years
- Exam fee
- $250
Skills in focus
Learning outcomes
- 获得 Palo Alto Networks PCDRA 官方认证，Cortex XDR SOC 分析师资质
- 能够独立使用 Cortex XDR 完成威胁调查：Alert → Incident → 根因分析 → 修复响应完整流程
- 掌握 BIOC 自定义规则开发和 XQL 查询取证，从 Tier 1 升级到 Tier 2 SOC 分析能力
- 具备端点隔离、远程取证和恶意软件修复的实际响应操作能力，缩短 MTTR
- 澳洲市场 SOC Analyst Tier 2/Incident Response Engineer 薪资区间约 AUD $90,000-$120,000
Who this is for
- SOC 分析师（SOC Analyst Tier 1/2）使用 Cortex XDR 平台处理端点安全告警和事件调查
- 事件响应工程师（Incident Response Engineer）在企业安全团队负责端点取证和威胁猎捕
- 已有 Cortex XDR 或其他 EDR 平台（CrowdStrike/SentinelOne/Microsoft Defender）工作经验的安全分析师
- 希望从 Tier 1 升级到 Tier 2 SOC 分析师（需要掌握 BIOC 自定义规则和 XQL 查询取证）的安全从业者
Before you start
- 了解端点安全基础概念（EPP/EDR/SIEM 的区别）
- 熟悉 Windows/Linux 系统基础（进程/注册表/文件系统/网络连接）
- 了解常见威胁类型和攻击技术（MITRE ATT&CK 框架基础）
- 建议有 3-6 个月 Cortex XDR 平台使用经验
- 具备 SOC 告警处理或事件响应的实际工作经验（非必须但有帮助）
Your learning path
5 chapters
Plan your preparation
- Learning hours
- 30h
- With relevant experience
- 4-6 weeks
- Starting from scratch
- 8-10 weeks
- Daily study
- 1.5-2h
Included in your preparation
- BIOC 自定义规则专项：行为 IOC vs 传统 IOC 区别，基于 XQL 的威胁检测规则设计和 MITRE ATT&CK 映射
- XQL 查询取证：dataset 选择（xdr_data/process/network/file）、filter/groupby/fields 语法，进程父子链和横向移动查询
- 88+ 精选 PCDRA 场景题，覆盖 Alert → Incident 聚合逻辑、Incident 严重级别评估和误报处理
- 端点响应操作专项：Network Isolation 隔离机制、Live Terminal 远程执行、File Retrieval 取证操作
- 仿真模拟考试（80 题/120 分钟），Cortex XDR 是澳洲企业 SOC 团队部署最广泛的 EDR 平台之一
1. 第一阶段：Cortex XDR 平台架构（1-2 周）
理解 Cortex XDR 的数据采集链：Agent 端点遥测 + PAN-OS 网络日志 + 第三方日志 → Cortex Data Lake → XDR 分析引擎。搞清楚 Prevention Mode 和 Detection Mode 的区别，以及 Agent 在 Windows/Mac/Linux 上的部署方式。
2. 第二阶段：XQL 查询 + BIOC 规则（2-3 周）
这是考试的核心。XQL 语法必须练到能写：dataset 选择、filter 过滤、fields 投影、groupby 聚合、sort 排序。BIOC 规则要理解和传统 IOC 的区别 — BIOC 基于行为序列（"进程 A 创建子进程 B 且 B 访问网络"），不是静态的 IP/Hash。
3. 第三阶段：事件调查 + 端点响应 + 模考（1-2 周）
练习完整的事件调查流程：Alert 分类 → Incident 聚合查看 → Causality Chain 分析 → XQL 取证 → 端点隔离/修复。端点响应操作（Network Isolation、Live Terminal、File Retrieval）的适用场景和风险要搞清楚。
Career value
Cortex XDR 在 EDR/XDR 市场的地位
Cortex XDR 在 2025 年 Gartner Magic Quadrant for Endpoint Protection 中是 Leader，与 CrowdStrike Falcon 和 Microsoft Defender for Endpoint 并列前三。全球使用 Cortex XDR 的 SOC 团队超过 6000 个（Palo Alto 2025 年报数据），PCDRA 是这些团队内部"会用产品"的能力证明。
适合考的人：正在使用 Cortex XDR 的 SOC 分析师（Tier 1 升 Tier 2 的加分项）；企业内部安全团队刚部署了 Cortex XDR 需要快速上手的工程师。不适合：用 CrowdStrike 或 SentinelOne 的团队 — PCDRA 是 Palo Alto 产品专属认证，学到的 XQL 和 BIOC 在其他 XDR 平台上不通用。
PCDRA + PCNSA 组合在 Palo Alto 合作伙伴公司（Optiv、Guidepoint）的安全工程师招聘中几乎是标配要求。
- 澳洲
- AUD 90,000 – 135,000
- 美国
- USD 85,000 – 130,000
- 新加坡
- SGD 70,000 – 110,000
Preparation tips
- **80 题 120 分钟，每题 1.5 分钟** — XQL 题需要仔细读查询语句，时间可能偏紧。
- **Palo Alto 官方 Beacon 平台有免费 PCDRA 学习路径** — 包含 Cortex XDR 的虚拟实验环境。
- **XQL 题先看 dataset 和 filter** — 知道查的是什么数据源、过滤了什么条件，答案通常就出来了。
- **Causality Chain 是事件调查的核心视图** — 它展示了从初始进程到最终恶意行为的完整链路，考试经常给你一个 Causality Chain 截图让你判断攻击路径。
- **两年有效期，考虑和 PCNSA 一起规划** — PCDRA（检测响应）+ PCNSA（防火墙管理）覆盖了 Palo Alto 安全运营的两大支柱。
Common mistakes
- **XQL 语法和 SQL 搞混** — XQL 的 dataset 概念不等于 SQL 的 table，filter 不等于 WHERE（语法不同），没有 JOIN。
- **BIOC 和 IOC 的区别没搞清** — IOC 是静态匹配（这个 IP/Hash 是恶意的），BIOC 是行为匹配（"cmd.exe 创建 powershell.exe 且 powershell 下载文件"这个行为链是可疑的）。
- **Alert 和 Incident 的关系搞混** — 一个 Incident 可以包含多个 Alert，Cortex XDR 自动根据时间窗口和实体关联将 Alert 聚合为 Incident。
- **端点隔离（Network Isolation）的影响理解不足** — 隔离后端点只保留和 Cortex XDR 管理平台的通信通道，其他所有网络连接被切断。考试会问什么情况下该用隔离、什么情况下不该用。
- **MITRE ATT&CK 框架只知道名字** — 至少要熟悉 Initial Access、Execution、Persistence、Lateral Movement 这几个常考 Tactic，以及每个 Tactic 下 2-3 个常见 Technique。
Before you register
How difficult is the PCDRA exam?
The PCDRA exam focuses on Cortex XDR threat detection, incident investigation, and remediation response capabilities. The exam is 120 minutes long, and 3-6 months of systematic preparation is recommended. Our practice questions can significantly improve your pass rate.
How much does the exam cost?
The PCDRA exam fee is $250 USD. The certification is valid for 2 years, after which recertification is required.
Who is the PCDRA certification suitable for?
It is ideal for SOC analysts, security operations engineers, and IT security professionals who use Cortex XDR for endpoint detection and response.
How can I use this course effectively to prepare?
We recommend completing all chapters first, then using mock exams to identify weak areas, and finally reviewing mistakes with the smart review feature. Dedicating 1-2 hours daily for 4-8 weeks should prepare you thoroughly.
Learner experiences
Loading reviews…
XQL 查询占了很大比重，考试会给你一段 XQL 让你判断输出结果，或者给你一个取证场景让你写 XQL。建议在 Cortex XDR 的 Query Center 里每天练 5-10 条查询，至少练 2 周。
SOC Analyst 2 年
使用 Cortex XDR · 790/1000 · 5 weeks
有 IR 背景的话 BIOC 和 MITRE ATT&CK 映射部分比较轻松。最花时间的是 Cortex XDR 控制台的具体操作 — 比如 Exclusion Policy 怎么配、Agent 升级策略怎么设。建议拿到 Cortex XDR 试用账号做实操。
R. Thompson
Incident Response Engineer · 820/1000 · 4 weeks
Start with the first chapter.
2 free chapters · Full preparation from $29