Professional Security Operations Engineer — Übungsfragen und Probeprüfung

Die Zertifizierung Professional Security Operations Engineer belegt, dass du Sicherheitsbedrohungen für Workloads, Endpoints und Infrastruktur mit Google-Cloud-Ressourcen aufspüren, überwachen, analysieren, untersuchen und abwehren kannst. Sie deckt Platform Operations, Datenmanagement, Threat Hunting, Detection Engineering, Incident Response und Observability ab und prüft, wie sicher du mit Google Security Operations (SecOps), dem Security Command Center (SCC), dem Schreiben von Detection Rules, der Log-Ingestion und automatisierten Response-Abläufen umgehst.

Es ist eine Zertifizierung auf Professional-Level für Security-Operations-Analysten und -Engineers, die sich auf Threat Detection, Incident Response und Security Monitoring in der Google Cloud spezialisiert haben. Google empfiehlt mindestens drei Jahre Erfahrung in der Security-Branche, davon mindestens ein Jahr mit den Security-Tools der Google Cloud. Typische Rollen danach: SOC-Analyst, Threat Hunter oder Detection Engineer.

Detection Engineering wiegt mit 22 % am schwersten: YARA-L-Regeldesign, risikobasierte Detection im Zusammenspiel mit Threat Intelligence und weniger False Positives durch Alert Scoring. Direkt dahinter liegt Incident Response mit 21 %, also Containment und Root-Cause-Analyse, das Design von SOAR-Playbooks und das Führen von Cases durch den Response-Lifecycle. Threat Hunting kommt auf 19 %, hier durchsuchst du die Telemetrie der Umgebung und Threat Intelligence nach Indicators of Compromise und neuen Angriffsmustern. Platform Operations und Data Management liegen mit je 14 % gleichauf, einmal Anbindung von Telemetriequellen und Authentifizierung, einmal Log-Ingestion und Parser-Tuning in Google SecOps. Observability schließt das Blueprint mit 10 % ab und deckt Dashboards sowie das Monitoring der Plattform-Gesundheit ab.

Detection und Response machen zusammen 43 % der Prüfung aus. Die Domain-Namen klingen zwar stark nach Hands-on-Betrieb, tatsächlich zielen die Fragen aber vor allem auf die Mechanik von Google Security Operations und Security Command Center, weniger auf allgemeines Urteilsvermögen als SOC-Analyst.

In 120 Minuten bekommst du 50 bis 60 Fragen im Multiple-Choice- und Multiple-Select-Format, im Verhältnis von grob 80 % Einzelantwort zu 20 % Mehrfachauswahl. Geprüft wird praktisches Wissen zu den SIEM-/SOAR-Fähigkeiten von Google Security Operations (früher Chronicle) und zu den Funktionen von Security Command Center, nicht allgemeine Theorie aus der Security-Analyse.

Jede Domain der GCP-PSOE-Prüfung ist im Pool tief genug abgedeckt, um sie gezielt zu üben. Eine Probeprüfung stellt dir 55 Fragen am Stück, mit derselben 120-Minuten-Uhr wie am Prüfungstag.

Wie lange du brauchst, hängt davon ab, wie viel Praxiserfahrung du mitbringst. Den Rest legt der Anbieter fest: wie die Prüfung abläuft, wie schnell du wiederholen darfst und wie lange das Zertifikat gültig bleibt.

Die Prüfung legst du entweder online mit Remote-Proctoring ab oder vor Ort in einem Testcenter. Die Zertifizierung gilt 2 Jahre; zur Verlängerung schreibst du im Recertification-Zeitfenster eine aktualisierte Prüfung.

Security Command Center (SCC) und Google Security Operations überschneiden sich im Zweck so stark, dass unter Prüfungsdruck oft unklar bleibt, welches Werkzeug welche Aufgabe übernimmt. Am häufigsten verwechselt wird die automatisierte Event Threat Detection in SCC mit den selbst geschriebenen YARA-L-Detection-Rules in SecOps. Parser Modifications und Parser Extensions erfüllen bei der Datennormalisierung in SecOps unterschiedliche Zwecke, werden in Lernmaterialien aber gern als austauschbar behandelt. Bei Incident-Response-Fragen wird der komplette SOAR-Playbook-Lifecycle vorausgesetzt, inklusive der Stufen im Case Management und der Eskalationswege, also deutlich mehr als reines Containment. Logs Explorer, Log Analytics und BigQuery passen jeweils zu anderen Untersuchungsszenarien, und die falsche Wahl kostet dich Zeit, selbst wenn deine eigentliche Analyse richtig gewesen wäre.