云原生安全防护工程师考试试卷及答案

云原生安全防护工程师考试试卷及答案试题部分一、填空题（每题1分，共10分）1.Kubernetes（K8s）核心控制平面组件含kube-apiserver、kube-controller-manager、kube-scheduler和________。2.容器镜像漏洞扫描开源工具是Clair和________。3.K8s基于角色的访问控制缩写为________。4.云原生应用典型部署模式含微服务、Serverless和________。5.镜像仓库安全关键是对镜像做________验证。6.K8s限制Pod权限的内置资源是________（PSP）。7.Serverless安全核心关注身份认证、权限控制和________。8.云原生威胁检测开源工具是________（如Falco）。9.ServiceMesh核心安全功能含服务间加密和________。10.容器逃逸常见向量含恶意镜像和________配置错误。二、单项选择题（每题2分，共20分）1.K8s默认容器运行时是？A.DockerB.containerdC.rktD.LXC2.用于K8s集群漏洞扫描的工具是？A.TrivyB.PrometheusC.GrafanaD.Etcd3.不属于云原生安全风险的是？A.容器逃逸B.镜像篡改C.硬件故障D.RBAC滥用4.镜像签名主要目的是？A.加速拉取B.防篡改C.减小体积D.优化分层5.K8s控制Pod网络访问的资源是？A.RBACB.PSPC.NetworkPolicyD.Deployment6.开源云原生安全平台是？A.AWSGuardDutyB.AzureSecurityCenterC.FalcoD.GCPSCC7.Serverless易受攻击的环节是？A.函数代码B.存储卷C.宿主机CPUD.物理网络8.容器逃逸不涉及的向量是？A.特权容器B.挂载宿主机目录C.镜像漏洞D.服务网格配置9.属于云原生数据安全范畴的是？A.镜像扫描B.数据加密C.K8s节点监控D.函数冷启动10.K8s配置审计工具是？A.kube-benchB.kube-auditC.PrometheusD.Fluentd三、多项选择题（每题2分，共20分）1.K8s核心安全控制含？A.RBACB.NetworkPolicyC.PSPD.镜像仓库认证2.云原生安全防护关键领域含？A.容器安全B.微服务安全C.数据安全D.基础设施安全3.容器镜像安全措施含？A.漏洞扫描B.镜像签名C.最小化镜像D.清除敏感信息4.K8s安全最佳实践含？A.最小权限原则B.启用审计日志C.禁用特权容器D.定期更新组件5.Serverless安全挑战含？A.冷启动延迟B.身份认证复杂C.数据泄露D.函数权限失控6.云原生威胁类型含？A.容器逃逸B.服务间未授权访问C.供应链攻击D.硬件攻击7.ServiceMesh安全能力含？A.服务间TLS加密B.流量控制C.身份认证D.审计日志8.云原生数据保护方法含？A.静态加密B.传输加密C.访问控制D.数据脱敏9.K8s审计日志作用含？A.追踪用户操作B.检测异常C.合规证明D.优化性能10.开源云原生安全工具组合含？A.Trivy+FalcoB.kube-bench+kube-hunterC.Prometheus+GrafanaD.Istio+Envoy四、判断题（每题2分，共20分）1.K8sPod默认运行在root用户下。（）2.镜像扫描只需扫运行容器，无需扫本地镜像。（）3.RBAC仅控制K8s资源访问，不涉及Pod内部权限。（）4.Serverless无需关注身份认证，由云厂商负责。（）5.ServiceMesh可实现微服务间自动TLS加密。（）6.容器逃逸不会影响宿主机其他容器。（）7.云原生安全仅需关注容器层面。（）8.PSP是K8s内置Pod安全策略资源。（）9.镜像签名可验证镜像来源和完整性。（）10.云原生应用无需渗透测试。（）五、简答题（每题5分，共20分）1.简述K8sRBAC核心概念及作用。2.容器镜像安全防护主要措施有哪些？3.云原生环境中Serverless架构安全挑战是什么？4.简述ServiceMesh在云原生安全中的价值。六、讨论题（每题5分，共10分）1.如何在K8s集群中实现Pod的最小权限原则？2.云原生环境下数据安全面临哪些新挑战？如何应对？答案部分一、填空题答案1.etcd2.Trivy3.RBAC4.容器编排5.签名6.Pod安全策略7.函数代码安全8.Falco9.访问控制10.特权容器二、单项选择题答案1.B2.A3.C4.B5.C6.C7.A8.D9.B10.B三、多项选择题答案1.ABCD2.ABCD3.ABCD4.ABCD5.BCD6.ABC7.ABCD8.ABCD9.ABC10.AB四、判断题答案1.√2.×3.√4.×5.√6.×7.×8.√9.√10.×五、简答题答案1.K8sRBAC核心概念及作用：RBAC通过`Role`（命名空间内权限）、`ClusterRole`（跨命名空间权限）、`RoleBinding`（绑定用户/组与角色）、`ClusterRoleBinding`实现权限控制。作用是细粒度管理K8s资源访问，遵循最小权限原则，防止未授权操作，保障集群安全。2.容器镜像安全防护措施：①漏洞扫描（Trivy/Clair）；②镜像签名（Cosign）；③最小化镜像（Alpine基础镜像）；④清除敏感信息；⑤私有镜像仓库（控制访问权限）。3.Serverless安全挑战：①函数代码易受注入攻击；②函数权限过大（访问所有云资源）；③敏感数据未加密；④多租户身份认证复杂；⑤冷启动配置漏洞。4.ServiceMesh安全价值：①服务间自动TLS加密（防中间人攻击）；②基于身份的访问控制；③服务调用审计；④零信任安全（最小权限）；⑤Sidecar代理隔离微服务（防横向移动）。六、讨论题答案1.K8sPod最小权限实现：①禁用root用户（`runAsUser`指定非root）；②禁用特权容器（`privileged:false`），限制`capabilities`（删除`CAP_SYS_ADMIN`）；③资源配额（CPU/内存限制）；④网络隔离（`NetworkPolicy`）；⑤最小化镜像（无多余工具）。2.云原生数据安