2026年云计算网络安全工程师职业技能水平考核试卷及答案

2026年云计算网络安全工程师职业技能水平考核试卷及答案一、单项选择题（共20题，每题2分，共40分。每题只有1个正确答案）1.在AWS、阿里云、华为云等主流公有云遵循的云计算共享安全责任模型中，以下哪项属于云租户（客户）需要承担安全责任的范畴A.物理数据中心的机房门禁与环境安全防护B.云对象存储服务底层硬件存储的固件漏洞修复C.租户私有网络VPC的网络访问控制ACL、安全组规则配置D.云服务区不同可用区之间骨干传输链路的安全防护2.根据2025年修订实施的《网络安全等级保护条例》及《云计算服务安全评估办法》要求，部署在公有云的第三级网络安全等级保护对象，定期开展等级保护测评的最大周期为A.6个月B.12个月C.24个月D.36个月3.云原生容器环境中，以下哪类攻击属于利用容器与宿主机共享内核的特性，通过内核漏洞实现容器逃逸获取宿主机权限A.脏牛（DirtyCOW）漏洞利用型容器逃逸B.第三方Sidecar镜像注入攻击C.容器镜像后门植入攻击D.KubernetesAPI未授权访问攻击4.适配云环境动态访问特性的零信任安全架构，核心遵循的基本原则是A.默认信任，持续授权B.默认不信任，持续验证C.基于网络边界信任，一次验证长期有效D.基于身份属性信任，无需重复验证5.云业务系统用户数据处理过程中，针对需要对外提供使用、同时要求保留原始数据格式与业务可用性的敏感个人信息（如手机号、银行卡号），以下哪种脱敏技术最符合要求A.数据完全删除脱敏B.替换掩码脱敏C.全数据加密脱敏D.不可逆随机化脱敏6.某企业公有云云服务器出现异常对外流量，安全工程师排查后发现该服务器被植入挖矿木马，木马通过云服务器绑定的SSH密钥对进行传播，以下哪项是该攻击路径的最可能入口A.云厂商SSH服务漏洞被利用B.用户SSH密钥对存储在公网代码仓库泄露C.云服务器硬件固件被攻破D.VPC默认网络ACL规则允许所有出站流量7.针对AI大模型部署在公有云的场景，提示注入攻击通过构造恶意诱导指令获取大模型训练数据中的敏感信息，以下哪项防护措施最有效A.对输入提示进行内容过滤，增加提示注入检测模块，对输出结果做敏感数据扫描B.限制大模型最大token输入长度C.关闭大模型对外API访问接口D.给大模型训练数据集全量加密8.主流公有云提供的云原生Web应用防火墙（WAF）与传统硬件WAF相比，以下哪项是云WAF最核心的优势A.无需硬件采购成本B.可以弹性扩容应对大流量CC攻击C.支持SSL证书卸载D.可以拦截SQL注入攻击9.根据《个人信息保护法》要求，云上存储的个人信息出境，需要通过的安全合规流程是A.国家网信部门组织的个人信息出境标准合同备案或安全评估B.云厂商组织的数据出境安全评估C.企业自行组织的数据出境安全评估D.行业协会组织的数据出境安全评估10.云环境下特权账号管理，以下哪项配置不符合最小权限原则A.给云账号的根用户开启多因素认证（MFA），日常运维不使用根账号B.给开发人员分配对应开发环境的操作权限，不开放生产环境权限C.为了方便运维，给所有运维人员开放VPC所有资源的全读写权限D.采用临时权限授予机制，运维操作完成后自动回收权限11.以下哪项属于云基础设施即服务（IaaS）层面的安全配置错误风险A.对象存储桶配置为公共读写权限导致数据泄露B.SaaS应用管理员账号密码泄露导致数据泄露C.PaaS平台中间件存在未修复漏洞导致被入侵D.云厂商数据中心物理服务器故障导致业务中断12.针对云上数据备份防勒索的要求，以下哪项备份策略最符合3-2-1备份原则A.3份数据备份，存储在2个同区域不同云服务器的本地磁盘，1份存储在企业本地机房B.3份数据备份，存储在2个不同介质类型（对象存储、云硬盘），1份存储在跨区域离线存储C.2份数据备份，存储在3个不同区域，1份存储在公开可访问的存储桶D.1份全量备份，2份增量备份，全部存储在同一个可用区的云硬盘13.云环境下侧信道攻击可以通过共享云物理资源获取其他租户的敏感信息，以下哪种部署模式最容易触发侧信道攻击A.同一物理宿主机上部署不同租户的容器实例B.不同物理宿主机上部署不同租户的云服务器C.租户独占物理服务器部署业务D.跨可用区部署租户业务实例14.零信任架构在云网络中的实现，以下哪项技术是核心身份访问控制基础A.基于IP地址的访问控制列表B.基于角色的访问控制（RBAC）结合持续身份评估C.基于VPC网段的信任划分D.基于物理边界的访问控制15.某企业使用云监控服务发现云服务器CPU利用率持续高于90%，但业务流量没有明显增长，最可能出现的安全事件是A.DDoS攻击B.挖矿木马入侵C.数据泄露D.配置错误16.以下哪项合规认证是我国针对云计算服务的国家级安全合规要求，用于评估云服务商的云服务安全能力A.ISO27001B.GDPRC.云计算服务安全评估（云评估）D.PCIDSS17.针对Kubernetes集群的特权容器逃逸攻击，以下哪项配置防护是最有效的A.开启容器网络的网络策略隔离不同命名空间B.定期扫描容器镜像漏洞C.禁止容器开启特权模式，限制容器可使用的内核能力D.开启Kubelet的身份认证18.云环境下，攻击者通过注册相似名称的公有云服务仿冒官方服务，诱导企业员工输入账号密码的攻击方式属于A.钓鱼攻击B.云中间人攻击C.供应链攻击D.水坑攻击19.某企业将核心数据库部署在公有云，只允许指定公网IP访问数据库端口，该防护方式属于A.网络访问控制防护B.数据加密防护C.入侵检测防护D.漏洞防护20.针对云环境的日志审计，以下哪项要求不符合等保三级的规定A.日志存储周期不少于6个月B.所有云资源的操作日志都需要留存C.日志只存储在产生日志的云服务器本地，不做异地备份D.日志需要包含操作人、操作时间、操作内容、源IP地址等信息二、多项选择题（共10题，每题3分，共30分。每题有2个及以上正确答案，多选、少选、错选不得分）1.云计算共享责任模型中，针对PaaS服务模式，云服务商需要承担的安全责任包括以下哪些A.PaaS平台底层基础设施的物理安全B.PaaS平台中间件、运行环境的漏洞修复C.租户部署在PaaS上的应用代码安全D.PaaS平台的身份认证与访问管控服务安全2.云原生环境下的安全左移实践包括以下哪些内容A.在代码提交阶段嵌入静态应用安全测试（SAST）扫描B.在CI/CD流水线中集成容器镜像漏洞扫描C.在应用部署前开展基础设施即代码（IaC）配置错误检测D.在生产环境运行后部署入侵检测系统开展实时监测3.针对公有云的勒索攻击，常见的攻击路径包括以下哪些A.利用公开暴露的云资源配置错误（如未授权RDP、SSH访问）入侵B.窃取特权账号凭证后获取云资源控制权加密数据C.漏洞利用入侵云厂商底层基础设施加密所有租户数据D.通过供应链入侵第三方云服务组件进而入侵租户环境4.零信任架构在混合云环境中的关键能力包括以下哪些A.统一身份治理，覆盖本地账号、云账号、服务账号B.基于上下文的持续访问评估，动态调整访问权限C.微分段隔离，限制横向移动D.默认开放所有跨网络访问，仅拦截已知恶意流量5.根据《个人信息保护法》要求，处理个人信息的云上业务系统，需要满足以下哪些要求A.公开处理规则，明示处理个人信息的目的、方式和范围B.不得过度收集个人信息，符合最小必要原则C.对敏感个人信息采取加密、去标识化等安全防护措施D.任何情况下都不得向第三方提供个人信息6.以下属于云网络安全防护技术的有A.VPC网络分段隔离B.安全组、网络ACL访问控制C.DDoS高防、流量清洗D.云原生微分段隔离7.容器镜像安全的主要防护措施包括以下哪些A.使用官方可信镜像源，不使用来源不明的第三方镜像B.定期扫描镜像，修复发现的高危漏洞后再部署C.镜像签名，防止镜像被篡改，只允许部署签名合法的镜像D.开启镜像仓库的公网匿名访问权限，方便开发人员拉取8.针对SaaS服务模式，企业客户需要开展的安全管理工作包括以下哪些A.租户侧账号权限管理，开启MFA多因素认证B.定期审计SaaS平台的操作日志，核查异常访问C.在服务合同中明确SLA和数据安全责任划分D.对SaaS平台底层基础设施开展漏洞扫描和加固9.云上数据加密可以分为以下哪几个层次A.传输加密（TLS加密传输）B.存储加密（静态数据加密，包括服务端加密、客户端加密）C.应用层加密（对敏感字段单独加密存储）D.物理层加密（对存储硬件加密）10.云计算网络安全应急响应的关键流程包括以下哪些A.入侵事件检测与告警，定位受影响的云资源范围B.隔离受入侵的云资源，防止攻击者横向移动和攻击扩散C.溯源分析攻击路径，排查漏洞和配置错误，修复安全隐患D.恢复业务，开展事后复盘优化安全防护体系三、案例分析题（共2题，每题15分，共30分）1.某零售连锁企业搭建混合云架构承载核心电商业务，线下私有云部署核心交易数据库，存储1200万注册用户的姓名、手机号、收货地址、银行卡后四位等个人敏感信息，线上公有云部署前端访问入口、商品展示页面、测试开发环境的Kubernetes集群。近期发生用户个人信息泄露事件，安全排查后发现：企业测试环境Kubernetes集群的APIServer为了调试方便，配置为允许公网匿名访问，未开启身份认证和访问控制；攻击者通过搜索引擎抓取到该APIServer的公网地址，利用未授权访问获取了集群节点权限，进一步通过测试环境VPC与生产环境VPC未配置网络隔离策略，成功横向移动到生产环境VPC，获取了核心数据库的只读权限，导出了用户敏感信息导致泄露。请结合上述案例回答以下问题：（1）根据云计算共享安全责任模型，分别说明本次安全事件中云服务商和企业客户各自应当承担的安全责任。（6分）（2）针对企业暴露在公网的Kubernetes集群，列出至少5项安全加固措施。（5分）（3）针对混合云环境不同安全等级VPC之间的横向移动风险，给出3种可行的防护方案。（4分）2.某中型企业采购SaaS模式的客户关系管理（CRM）系统，存储8万余名企业客户的联系人信息、合作项目信息等敏感数据，计划开展等保三级测评。企业IT负责人认为，SaaS服务所有基础设施和平台都由服务商负责，企业不需要做任何安全防护工作，只需要配合测评即可。请结合上述情况回答以下问题：（1）说明SaaS服务模式下，企业客户作为等保测评的责任主体，需要承担哪些安全责任。（8分）（2）针对SaaS环境存储的个人敏感信息，列出至少4项符合《个人信息保护法》和等保要求的安全防护措施。（7分）参考答案及评分标准一、单项选择题（每题2分，共40分）1.C解析：共享责任模型中，物理基础设施、底层硬件、链路安全均由云厂商负责，租户侧的网络配置、应用、数据安全由租户负责，因此选C。2.B解析：根据2025年修订的《网络安全等级保护条例》明确要求，三级等保对象每年开展一次测评，因此周期最长为12个月，选B。3.A解析：脏牛漏洞是Linux内核漏洞，利用容器和宿主机共享内核的特性实现逃逸，其他选项分别为注入、镜像、API层攻击，不符合描述，选A。4.B解析：零信任核心原则为“从不信任，永远验证”，即默认不信任任何主体，持续开展身份和访问验证，选B。5.B解析：替换掩码脱敏可以保留原始数据格式，如手机号1381234，保留业务可用性，完全删除、加密、随机化都会破坏格式或可用性，选B。6.B解析：挖矿木马通过泄露的SSH密钥对传播，最常见的场景是开发人员将密钥对上传到公网代码仓库（如GitHub）导致泄露，其他选项不符合该传播路径，选B。7.A解析：提示注入攻击的核心防护是对输入提示做检测过滤，输出结果做敏感数据扫描，限制token长度会影响正常业务，关闭接口、全量加密无法解决问题，选A。8.B解析：云WAF基于云原生弹性架构，可以弹性扩容应对大流量CC和DDoS攻击，这是传统硬件WAF无法做到的核心优势，其他选项传统硬件WAF也支持，选B。9.A解析：根据《个人信息保护法》和《个人信息出境安全评估办法》，个人信息出境可以通过标准合同备案、认证、国家网信部门安全评估三种合规方式，选A。10.C解析：开放所有运维人员VPC全读写权限不符合最小权限原则，会大幅扩大攻击面，选C。11.A解析：对象存储桶是IaaS层服务，公共读写权限配置错误属于租户侧IaaS层面的配置错误风险，选A。12.B解析：3-2-1备份原则指：至少3份数据副本，存储在2种不同的介质，至少1份离线异地存储，选项B符合要求，选B。13.A解析：同一物理宿主机部署不同租户的容器实例，共享CPU、缓存等物理资源，最容易被侧信道攻击利用获取敏感信息，选A。14.B解析：零信任以身份为核心，基于RBAC权限结合持续身份评估是核心基础，IP、网段、物理边界都是传统边界安全的逻辑，选B。15.B解析：挖矿木马会占用大量CPU资源执行挖矿运算，业务流量无增长但CPU持续高负载，最可能是挖矿入侵，选B。16.C解析：云计算服务安全评估是我国针对云服务安全能力的国家级评估认证，选C。17.C解析：特权容器逃逸利用容器开启特权模式获得内核操作权限，禁止开启特权模式、限制容器可使用的内核能力是最直接有效的防护，选C。18.A解析：仿冒正规云服务诱导用户输入账号密码属于典型的钓鱼攻击，选A。19.A解析：通过限制源IP访问端口属于网络访问控制防护范畴，选A。20.C解析：等保三级要求日志留存不少于6个月，且需要做异地备份防止日志丢失，仅存储在本地不符合合规要求，选C。二、多项选择题（每题3分，共30分）1.ABD解析：PaaS模式下，租户部署的应用代码安全由租户自行承担，其他均为云服务商责任，因此选ABD。2.ABC解析：安全左移是将安全防护提前到开发、构建、部署阶段，生产运行后开展监测属于运行阶段安全防护，不属于左移范畴，因此选ABC。3.ABD解析：云厂商底层基础设施被攻破进而勒索全量租户的情况极为罕见，不属于常见攻击路径，其他三类都是云上勒索攻击的常见路径，因此选ABD。4.ABC解析：零信任核心逻辑是默认不信任任何访问，不会默认开放跨网访问，D错误，ABC均符合零信任核心能力要求，选ABC。5.ABC解析：经过用户明确同意或者符合法律法规要求的情况下，可以向第三方提供个人信息，D错误，ABC均符合个人信息保护法要求，选ABC。6.ABCD解析：VPC隔离、安全组ACL、DDoS流量清洗、云原生微分段都是云网络安全防护的核心技术，全部正确，选ABCD。7.ABC解析：开启镜像仓库公网匿名访问会导致镜像被未授权访问、篡改，D错误，ABC都是正确的容器镜像安全防护措施，选ABC。8.ABC解析：SaaS底层基础设施由服务商负责安全防护，企业不需要开展底层漏洞扫描，D错误，ABC都是企业客户需要落实的安全管理工作，选ABC。9.ABCD解析：传输加密、存储加密、应用层字段加密、物理层硬件加密是云数据加密的四个核心层次，全部正确，选ABCD。10.ABCD解析：检测定位、隔离控源、溯源修复、恢复复盘都是云计算安全应急响应的核心流程，全部正确，选ABCD。三、案例分析题（共30分）1.（1）责任划分：①云服务商责任：负责提供安全的云基础设施、Kubernetes服务底层组件安全、物理机房安全、云平台本身的访问控制能力，本次事件中云服务商已按共享责任模型提供了合规的安全配置能力，不承担事件主体责任（3分）；②企业客户责任：负责自身租户侧的资源配置安全、访问控制策略配置、不同安全等级网络的隔离、Kubernetes集群的访问权限配置、自有数据安全防护，本次事件的核心诱因为企业客户安全配置错误，企业是本次事件的责任主体（3分）。（2）安全加固措施（答对1项得1分，答对5项得满分）：①禁止APIServer公网匿名访问，开启身份认证和RBAC细粒度访问控制；②配置APIServer访问白名单，仅允许指定合法IP地址访问，不对公网任意地址开放；③开启Kubelet身份认证，禁止匿名访问Kubelet服务；④采用Sidecar零信任访问代理，对所有集群访问做身份校验和全流程审计；⑤开启集群操作日志全量留存，存储到异地日志服务用于攻击溯源；⑥定期扫描集群漏洞和配置错误，及时修复高危漏洞；⑦配置Kubernetes网络策略，隔离不同命名空间的资源，限制不必要的横向访问。（3）防护方案（答对1项得1分，答对3项得满分）：①配置不同安全等级VPC之间的网络访问控制策略，仅开