Understand the certification
PCSAE（Palo Alto Networks Certified Security Automation Engineer）验证候选人使用 Cortex XSOAR（原 Demisto，2019 年被 Palo Alto 以 $5.6 亿收购）构建安全编排自动化的能力。考试 80 题 / 120 分钟 / $250 USD，及格线约 70%，有效期 2 年。
XSOAR 的核心是 Playbook — 把告警分类、IOC 富化、工单创建这些 SOC L1 重复操作串成自动化流程。考试围绕四大块：Playbook 设计（顺序/条件/并行任务块、Sub-playbook 模块化）、Python Automation Scripts（demisto.args / demisto.results API、Docker 镜像选择）、Integration 配置（REST API 集成 Jira/ServiceNow/Splunk/VirusTotal）、Incident 管理（字段布局、War Room 协作、Post Processing Scripts）。
Palo Alto 在 2023 年将 XSOAR 整合进 Cortex XSIAM 平台，但 PCSAE 考试内容仍以独立 XSOAR 6.x 为主。实际工作中，掌握 XSOAR Playbook + Python 脚本的人在 SOC 自动化岗位上有明显优势 — 但前提是你的目标公司确实在用 Palo Alto 生态（而不是 Microsoft Sentinel 或 Splunk SOAR）。
Exam at a glance
- Exam code
- PCSAE
- Provider
- 其他
- Format
- Single choice / Multiple select
- Language
- English
- Validity
- 2 years
- Exam fee
- $250
Skills in focus
Learning outcomes
- 获得 Palo Alto Networks PCSAE 官方认证，安全自动化工程师方向权威认证
- 能够独立开发 Cortex XSOAR Playbook：设计自动化响应流程，构建 Sub-playbook 模块库
- 掌握 Python Automation Script 开发，实现自定义数据处理、IOC 富化和跨系统自动化操作
- 配置 XSOAR 与 Jira/ServiceNow/Splunk/SIEM 的双向集成，打通 SecOps 工具链
- 澳洲市场 Security Automation Engineer/SOAR Specialist 薪资区间约 AUD $110,000-$145,000
Who this is for
- 安全自动化工程师（Security Automation Engineer）负责 Cortex XSOAR/XSIAM 平台的 Playbook 开发和集成配置
- SOC 工程师（SOC Engineer/Architect）希望通过 SOAR 自动化减少重复性告警处理工作
- 有 Python 编程基础、希望进入安全自动化（SOAR）专业方向的安全从业者
- 已持有 PCDRA 认证，希望进一步掌握自动化响应（IR Automation）能力的安全工程师
Before you start
- 具备 Python 基础编程能力（变量/条件/循环/函数/字典）— Automation Script 开发的核心前提
- 了解 REST API 基础（HTTP Methods/JSON/认证 Token/Bearer）
- 熟悉安全运营基础概念（Incident Response 流程、Playbook 理念、SIEM/SOAR 区别）
- 建议有 3-6 个月 Cortex XSOAR 平台实际使用经验
- 了解 SOC 工具生态（Jira/ServiceNow/Splunk/VirusTotal）有助于理解集成配置
Consider another path if
- 不写代码的安全管理岗位 — PCSAE 有大量 Python 和 API 内容
- 目标公司用 Microsoft Sentinel 或 Splunk SOAR 的人 — 厂商绑定太强
- 纯网络方向（路由交换、防火墙策略）— PCNSA 或 PCNSE 更对口
Your learning path
5 chapters
Plan your preparation
- Learning hours
- 40h
- With relevant experience
- 4-6 weeks
- Starting from scratch
- 8-12 weeks
- Daily study
- 1-2h
Included in your preparation
- Playbook 设计专项：顺序/并行/条件/循环任务块，Sub-playbook 模块化设计，Input/Output 参数配置
- Python Automation Script 开发：demisto.args/results/context API 使用，Docker 镜像选择，调试方法
- 136+ 精选 PCSAE 场景题，覆盖集成配置（REST API/Jira/ServiceNow）和 Incident Type 字段布局设计
- War Room 案例协作：实时协作/证据收集/时间线管理，XSOAR vs XSIAM 的关系和演进路径
- 仿真模拟考试（80 题/120 分钟），SOAR/安全自动化工程师是全球 SOC 团队需求增长最快的岗位之一
1. 第一阶段：XSOAR Playground 上手（1-2 周）
注册 Palo Alto Cortex XSOAR Free Edition（社区版，功能受限但够练）。第一周目标：创建一个 Incident Type，手动触发一个 Playbook，看 War Room 里的执行日志。重点理解 Task 类型（Manual/Automated/Conditional）和 Context Data 的概念。
2. 第二阶段：Playbook + Integration 系统学习（2-3 周）
按 Palo Alto 官方 EDU-380 课程大纲走。核心要掌握：Sub-playbook 输入输出传递、Conditional Task 的过滤器语法（!val/DT 表达式）、Integration Instance 的 Classifier/Mapper 配置。每学完一个模块立刻在 Playground 里复刻。
3. 第三阶段：Python Automation Scripts 专项（1-2 周）
考试里 Python 脚本题占约 20%。必须掌握 demisto.args()、demisto.results()、demisto.executeCommand() 三个核心 API。练习写一个从 VirusTotal 查 hash 并更新 Incident Context 的脚本。Docker 镜像选择题也是高频考点（demisto/python3 vs demisto/crypto）。
4. 第四阶段：模考 + 错题回顾（1 周）
Palo Alto 官方没有公开题库，Beacon 平台有少量模拟题。重点回顾：Playbook 调试方法（Debug mode vs Playground Incident）、Integration 错误排查流程（Test button → War Room logs → Docker logs）、Incident Field 的 Association 逻辑。
Career value
XSOAR 在 Gartner 2024 SOAR 市场分析中仍排前三，但岗位数量上 Microsoft Sentinel + Logic Apps 和 Splunk SOAR 的招聘 JD 更多。LinkedIn 上搜 "XSOAR Engineer" 澳洲全国不到 30 个活跃岗位，美国约 200-300 个。
PCSAE 最大的价值是给 SOC L1/L2 往 Automation 方向转型提供一个证明 — 尤其是你已经在用 XSOAR 的团队里。拿到 PCSAE 后再补一个 Python 中级水平（能写 async HTTP 调用和 JSON 解析），就能胜任大多数 SOAR 工程师岗位。
不适合的人：纯网络工程师（PCNSA/PCNSE 更对口）、不写代码的安全管理者（CCISO 更合适）、目标公司不用 Palo Alto 产品的人。
- 澳洲
- AUD 120,000 – 170,000
- 美国
- USD 110,000 – 160,000
- 新加坡
- SGD 85,000 – 130,000
Preparation tips
- **先做 Playbook 设计题** — 这部分占比最高（约 30-35%），通常是看一个 Playbook 截图判断执行路径或找错误。
- **Python 题注意 return 格式** — demisto.results() 接受 dict 或 list，但 CommandResults 对象才是推荐的新写法。考试两种都会出。
- **Integration 测试流程必背** — Test button → Check War Room → Check Docker logs → Check API credentials，这个排查顺序考过多次。
Common mistakes
- **只用 GUI 不碰 Python** — Playbook 可视化编辑器很方便，但考试约 20% 是 Python 脚本题，demisto.args() 和 demisto.results() 的用法必须手写。
- **混淆 Classifier 和 Mapper** — Classifier 决定 Incident Type（分类），Mapper 决定字段映射。两者都在 Integration Instance 上配置，但作用完全不同。
- **忽略 Context Data 的 DT 表达式** — 考试会考 `${incident.labels.value}` 和 `!val.toUpperCase()` 这类语法，不练就抓瞎。
Before you register
How difficult is the PCSAE exam?
The PCSAE exam covers XSOAR/Cortex XSIAM security orchestration, automation and response (SOAR) platform design, deployment, and automated playbook development. The exam is 120 minutes long, and 3-6 months of systematic preparation is recommended. Our practice questions can significantly improve your pass rate.
How much does the exam cost?
The PCSAE exam fee is $250 USD. The certification is valid for 2 years, after which recertification is required.
Who is the PCSAE certification suitable for?
It is ideal for security automation engineers, SOAR platform administrators, and SecOps professionals looking to improve security operations efficiency through automation.
How can I use this course effectively to prepare?
We recommend completing all chapters first, then using mock exams to identify weak areas, and finally reviewing mistakes with the smart review feature. Dedicating 1-2 hours daily for 4-8 weeks should prepare you thoroughly.
Learner experiences
Loading reviews…
我们公司用 XSOAR 做告警自动化，日常工作就是改 Playbook，所以备考的东西大部分已经见过。坑在 Python 脚本题 — 我平时都用 GUI 拖拽，很少写 demisto API，结果这部分差点挂。建议就算日常不写代码也要把脚本 API 过一遍。
SOC L2 分析师 3 年
MSSP 安全运营 · 约 78% · 6 weeks
零 XSOAR 经验从头学。最大的挑战是理解 Context Data 和 DT（Demisto Transform）表达式 — 这套语法跟 JSONPath 类似但又不完全一样，官方文档写得也不够清楚。最后靠在 Playground 里反复试才搞明白。
R. Chen
DevSecOps Engineer · 10 weeks
Start with the first chapter.
2 free chapters · Full preparation from $39