2026年云安全笔试真题（回忆版）及答案解析

2026年云安全笔试真题（回忆版）及答案解析一、单项选择题（每题1分，共20分）1.在云服务商的责任共担模型中，以下哪项通常由云服务商完全负责？A.租户应用的代码安全B.物理服务器的安全与维护C.租户使用者的访问权限管理D.租户虚拟网络中的流量加密答案B解析物理基础设施安全由云服务商负责，包括数据中心、物理服务器、网络设备等。2.以下哪种云服务模型中，客户承担的安全责任范围最大？A.SaaSB.PaaSC.IaaSD.FaaS（函数即服务）答案C解析IaaS仅提供基础设施，客户需要负责操作系统、应用和数据安全。3.某对象存储桶被意外设置为“公共读（PublicRead）”，导致敏感数据可被任何人下载，该问题属于以下哪类安全风险？A.供应链攻击B.云上错误配置C.虚拟机逃逸D.分布式拒绝服务（DDoS）答案B解析存储桶权限配置错误是典型的云上错误配置风险。4.云上启用多因素认证（MFA）最主要目的是？A.提高登录速度B.增强身份认证安全性C.降低网络延迟D.便于运维人员远程调试答案B5.在容器安全中，容器与宿主机共享以下哪一部分？A.用户空间B.操作系统内核C.根文件系统D.持久化存储答案B解析容器共享宿主机内核，缺乏独立内核隔离，内核攻击可能影响同一宿主机上的其他容器。6.云上密钥管理服务（KMS）通常提供的最核心能力是？A.对数据进行全文检索B.管理密钥的全生命周期C.替代Web应用防火墙D.自动修复漏洞答案B7.在公有云中，企业用于构建自定义逻辑隔离网络、划分网段并控制路由的核心组件是？A.虚拟私有云（VPC）B.云监控服务C.对象存储D.弹性公网IP答案A8.云安全审计日志中，用于追溯“谁在什么时间通过哪个API执行了什么操作”的主要依据是？A.操作审计（API审计）日志B.性能监控指标C.成本分析报表D.数据库慢查询日志答案A9.关于云上数据删除，以下哪种操作能最大化避免数据被恶意恢复？A.仅删除文件名B.将数据迁移到其他区域后再删除C.对数据进行加密且销毁加密密钥D.将存储卷标记为“待回收”答案C解析采用加密存储时，销毁密钥使数据密文失去可解密性，是云上公认的“加密删除”方式。10.容器镜像漏洞扫描属于容器生命周期的哪个阶段？A.开发构建阶段B.仅运行时阶段C.仅部署后阶段D.销毁阶段答案A解析镜像漏洞扫描应在镜像构建后、部署前进行，并持续跟踪。11.在云上业务连续性和灾难恢复中，通常用哪个指标表示可容忍的最大数据丢失量？A.RPO（RecoveryPointObjective）B.RTO（RecoveryTimeObjective）C.SLAD.MTBF（MeanTimeBetweenFailures）答案A12.云上用户通过身份提供商（IdP）进行联邦认证时，主要是为了？A.减少密码存储成本B.将企业现有身份与云身份打通，简化访问管理C.绕过MFAD.提升网络带宽答案B13.以下哪个措施最有效降低云上DDoS攻击对业务的影响？A.增加服务器内存B.启用弹性公网IPC.使用云高防（DDoS高防）或流量清洗服务D.在安全组中拒绝所有ICMP流量答案C14.云上Web应用受到SQL注入攻击，应在哪一层部署主要防护？A.Web应用防火墙（WAF）B.网络层的DDoS清洗C.云监控D.密钥管理答案A15.下列哪项是云上实现最小权限访问控制的关键工具？A.IAM角色与策略B.安全组C.弹性计算D.CDN答案A16.云工作负载保护平台（CWPP）通常部署在什么位置？A.仅网络边界B.仅作为集中管理控制台C.每台云服务器/工作负载上的Agent及管理端D.只在对象存储中答案C17.在SaaS服务中，通常由哪一方负责修补操作系统漏洞？A.客户自行修补B.SaaS服务商C.第三方审计机构D.客户和云服务商各一半答案B解析SaaS模式下，底层操作系统由服务商管理并负责补丁更新。18.云上数据分级分类的主要目的是？A.减少存储成本B.满足数据合规与差异化安全保护C.提高查询效率D.增强图形界面美观答案B19.云安全态势管理（CSPM）工具主要用来自动发现什么问题？A.程序运行缓慢B.存储空间不足C.云环境错误配置、合规风险与权限过高D.显示器故障答案C20.在中国境内部署云服务时，等保2.0中云计算平台安全扩展要求的适用方式是？A.仅适用于第一级B.仅适用于第二级C.根据云计算平台所承载业务的安全保护等级，从第一级到第五级均对应适用D.不适用答案C解析等保2.0将云计算平台作为等级保护对象，根据承载业务的等级执行相应等级的通用要求和扩展要求。二、多项选择题（每题2分，共20分）1.云安全责任共担模型中，客户通常承担以下哪些安全责任？A.客户数据的分类与加密B.所部署应用的代码安全C.访问云资源的人员权限管理D.物理服务器固件更新答案A、B、C解析物理服务器固件通常由云服务商负责，客户主要负责数据、应用和身份访问管理。2.下列属于云上身份与访问管理（IAM）最佳实践的有？A.使用长期AccessKey并存储在前端代码中B.为不同角色分配最小权限C.启用多因素认证（MFA）D.使用STS临时凭证代替永久凭证答案B、C、D3.云数据安全保护措施通常包括？A.数据传输加密（TLS）B.存储加密C.数据脱敏与匿名化D.访问日志审计答案A、B、C、D4.关于容器安全，下列说法正确的有？A.容器比虚拟机更安全，因此无需加固宿主机内核B.镜像应进行漏洞扫描并限制来源C.容器运行时需关注权限过大、逃逸风险D.容器网络策略可用来限制东西向流量答案B、C、D解析容器共享宿主机内核，并非绝对安全，仍需加固宿主机和容器运行时。5.云上威胁检测的数据源可以包括？A.云操作审计日志B.网络流日志C.主机入侵检测日志D.应用程序日志答案A、B、C、D6.应对云上DDoS攻击的措施有哪些？A.使用DDoS高防IPB.配置流量清洗阈值C.采用弹性带宽/CDN吸收突发流量D.关闭所有对外服务答案A、B、C7.云上多租户隔离通常依赖下列哪些机制？A.Hypervisor虚拟化隔离B.容器namespace/cgroup隔离C.VPC网络隔离D.IAM权限隔离答案A、B、C、D8.云服务商应向客户提供哪些安全合规相关的证明或报告？A.等保备案证明或测评报告B.ISO27001信息安全管理体系证书C.SOC2审计报告D.云服务销量排名报告答案A、B、C9.关于云上密钥管理，正确的做法有？A.由KMS统一生成和管理密钥，并将密钥明文存储在客户本地B.启用自动轮转密钥C.对敏感数据进行信封加密D.将根账号AccessKey直接用于业务系统答案B、C解析KMS主密钥明文通常由硬件安全模块（HSM）保护，客户无法导出；根账号AccessKey不应直接用于业务。10.下列哪些属于云上数据隐私保护措施？A.数据脱敏B.数据最小化收集C.数据跨境传输前进行安全评估D.对敏感数据加密存储答案A、B、C、D三、判断题（每题1分，共10分）1.在IaaS模式下，云服务商负责物理主机安全，客户负责操作系统及以上层面的安全。答案正确2.云上的安全组默认允许所有入站流量。答案错误解析安全组默认拒绝入站流量，出站流量通常默认允许，具体策略由云厂商定义。3.容器逃逸成功后，攻击者可能获得宿主机内核权限，进而威胁同宿主机上的其他容器。答案正确4.只要将对象存储桶设置为“私有”，就能绝对防止数据泄露。答案错误解析私有存储桶仍可能因账号凭证泄露、策略配置错误或URL分发不当导致数据泄露。5.云审计日志可以独立访问，因此无需再开启日志以记录管理员操作。答案错误解析云审计日志是安全审计的重要依据，应开启并留存，同时防止日志被篡改。6.在云上使用密钥管理系统（KMS）时，客户可完全控制主密钥的整个生命周期。答案错误解析客户可管理主密钥的使用策略和轮转等，但主密钥明文通常由KMS在HSM内保护，无法导出。7.同态加密允许直接对加密状态的数据执行计算，得到与明文计算一致的结果。答案正确8.云上所有合规责任都由云服务商承担。答案错误解析云安全采用责任共担模型，客户和云服务商各自承担相应的合规责任。9.最小权限原则要求每个用户和程序只拥有完成其任务所必需的权限。答案正确10.云上数据备份只需执行一次，无需周期性恢复演练。答案错误解析应定期执行备份与恢复演练，确保备份数据的可用性和应急响应能力。四、简答题（每题5分，共20分）1.简述云安全责任共担模型的基本内容。答案（1）云服务商负责“云的安全”，包括物理基础设施、硬件、软件平台、网络设施的安全与可用性。（2）客户负责“云中的安全”，包括数据分类与加密、身份与访问管理、应用安全、系统配置安全等。（3）具体责任边界取决于云服务模型：IaaS下客户责任更重，SaaS下云服务商承担更多底层安全责任。（4）双方应通过合同、SLA和责任共担矩阵明确边界，并分别落实相应安全控制。2.简述云上身份与访问管理（IAM）中最小权限原则的含义及实施要点。答案（1）含义：仅授予用户、应用或角色完成其任务所必需的最小权限，避免过度授权。（2）实施要点：按角色划分权限，使用细粒度策略；规划“默认拒绝、显式允许”的策略；使用STS临时凭证代替长期密钥；定期审查权限并清理闲置或多余授权；对管理操作启用MFA与审批流程。3.简述容器安全与传统虚拟机安全的主要区别。答案（1）隔离层级：虚拟机通过Hypervisor实现独立内核隔离，容器共享宿主机内核，隔离性相对较弱。（2）安全边界：虚拟机拥有完整独立的操作系统；容器依赖namespace/cgroup提供资源隔离，逃逸风险面更大。（3）镜像安全：容器对镜像供应链安全和漏洞扫描要求更高。（4）运维模式：容器生命周期短、调度频繁，传统安全工具难以覆盖，需要采用云原生安全解决方案和运行时防护。4.简述数据加密在云安全中的作用及常见应用场景。答案（1）作用：保护数据机密性和完整性，防止未授权访问、篡改和窃取。（2）应用场景：数据传输加密（TLS/HTTPS）；云盘/对象存储的存储加密；数据库敏感字段加密；数据脱敏与传输；数据备份加密；满足等保、隐私保护等合规要求。五、案例分析题（每题15分，共30分）1.某企业将一套内部系统迁移至公有云，几周后发生数据泄露事件。安全调查发现：（1）对象存储桶被设置为“公共读写”，任何人无需认证即可读取和写入数据；（2）运维人员将根账号AccessKey硬编码在应用程序代码中，且该Key具有所有权限；（3）安全组规则设置为允许全部来源IP访问22端口（SSH），且未启用MFA。请回答以下问题：（1）结合云安全最佳实践，指出该企业在身份与访问管理、数据保护、网络安全方面分别存在的问题。（6分）（2）提出针对上述问题的具体整改措施。（9分）答案：（1）问题：-身份与访问管理：根账号AccessKey直接用于业务系统，未遵循最小权限原则；未启用MFA，永久凭证泄露后风险不可控。-数据保护：对象存储桶权限设置为公共读写，违反受控访问原则；未启用数据加密和访问日志。-网络安全：安全组规则对全网开放SSH高危端口，暴露攻击面，存在暴力破解风险。（2）整改措施：-身份与访问管理：立即停用根账号AccessKey，改用IAM用户或RAM角色；使用STS临时凭证；为所有用户启用MFA；按最小权限原则配置策略，定期审查权限。-数据保护：将存储桶权限改为私有，使用IAM策略或预签名URL控制访问；开启服务端加密；启用访问日志并留存足够周期；对敏感数据分类分级和脱敏。-网络安全：收紧安全组规则，SSH端口仅对指定运维IP开放；通过堡垒机统一运维入口；关闭不必要的公网暴露服务；部署云防火墙/WAF增强防护。-其他：启用云监控和操作审计，设置异常访问告警；定期开展渗透测试和安全评估。2.某银行将网上银行系统迁移至公有云，需要满足中国信息安全等级保护（等保2.0）第三级安全保护要求。系统包括Web应用服务器、关系数据库、文件存储和运维管理区。请回答以下问题：（1）列出至少5项等保2.0第三级安全策略中需要重点关注的安全控制点。（7分）（2）给出该银行云上安全架构的层次化设计思路，并说明每一层的关键技术措施。（8分）答案：（1）重点关注的安全控制点：-网络架构：云上网络区域划分、访问控制策略、东西向流量微隔离。-主机安全：服务器安全基线、恶意代码防范、入侵检测与防御（HIDS）、补丁管理。-应用安全：Web应用防火墙（WAF）、安全开发流程、接口安全、漏洞管理。-