2026年云安全配置审计人员考核试题

2026年云安全配置审计人员考核试题一、单项选择题（每题2分，共30分）1.云安全配置审计的首要步骤是？A.收集云资源配置快照B.制定审计范围与基线标准C.分析安全组规则D.生成审计报告答案：B解析：审计工作须先明确范围和基线（如CIS基准、等保要求），后续的证据收集与差异分析才有依据。2.在AWS中，哪项服务能够持续记录资源配置变化，用于合规性审计？A.CloudTrailB.CloudWatchC.AWSConfigD.TrustedAdvisor答案：C解析：AWSConfig持续记录资源配置历史；CloudTrail记录API调用活动，两者侧重点不同。3.以下关于云存储桶（如AWSS3）公共访问配置的做法，哪项是安全的？A.设置为公共可读以方便分享B.仅对特定IAM角色授予最小权限C.允许所有认证用户读写D.禁用服务器端加密以提升性能答案：B解析：最小权限原则是云配置安全的核心；公共可读、全认证用户可读写均可能导致数据泄露。4.在Azure中，用于评估资源是否符合组织策略的服务是？A.AzureMonitorB.AzurePolicyC.AzureSentinelD.AzureAD答案：B解析：AzurePolicy用于实施和管理策略，评估资源合规性；AzureSentinel是SIEM产品。5.云环境中，安全组（SecurityGroup）默认的入站规则通常是？A.允许所有流量B.拒绝所有流量C.仅允许ICMPD.仅允许来自同一子网答案：B解析：主流云平台安全组默认入站拒绝所有流量，出站通常允许所有，需按需开放端口。6.下列哪项不属于身份与访问管理（IAM）配置审计的重点？A.是否存在长期未轮换的访问密钥B.是否启用了MFAC.是否使用root账号日常操作D.存储桶是否开启版本控制答案：D解析：存储桶版本控制属于存储安全审计范畴，与IAM无关。7.云审计中，检测到管理员权限账号被授予给外部供应商账号，这属于哪类配置风险？A.数据加密薄弱B.权限过度分配C.网络暴露过大D.日志记录不足答案：B解析：外部账号获得管理员权限属于典型的权限过度分配，易造成数据泄露或恶意操作。8.关于云数据库（如AWSRDS）安全配置，哪项是必须审计的项？A.是否关闭了自动备份B.是否开放公网访问C.是否使用默认端口D.以上都是答案：D解析：数据库公网暴露、默认端口、备份缺失均会导致安全或可用性风险，均为审计重点。9.在GCP中，哪项服务用于集中管理组织的安全策略和合规性？A.CloudIdentityB.SecurityCommandCenterC.CloudArmorD.CloudAuditLogs答案：B解析：SecurityCommandCenter提供安全与合规态势管理，聚合各类风险与配置问题。10.哪一种加密方式对云上静态数据保护最有效且合规？A.仅使用供应商默认加密B.使用客户管理的密钥（CMK）进行服务端加密C.不加密，依赖物理安全D.仅在传输时加密答案：B解析：客户管理密钥提供更多控制能力与合规性保证，默认加密在部分场景可能不满足监管要求。11.云配置审计中，发现某台主机安全组允许0.0.0.0/0访问SSH端口22，应判定为？A.低风险，方便运维B.高风险，可能被暴力破解C.中风险，需内部使用D.无风险，SSH协议本身安全答案：B解析：全网段开放SSH端口极易遭到暴力破解或漏洞利用，属于高风险配置。12.以下哪项不是云配置审计常用的合规基线？A.CISBenchmarksB.PCIDSSC.HIPAAD.ITIL答案：D解析：ITIL是IT服务管理框架，不直接作为云安全配置的合规基线。13.关于跨云资源访问的角色配置，最佳实践是？A.使用长期访问密钥B.使用临时安全凭证（STS）C.共享root凭证D.使用同一账号操作答案：B解析：临时安全凭证有效期短，可降低密钥泄露后的风险。14.在云环境中，对配置变更进行审计时，最有效的日志来源是？A.应用业务日志B.云平台管理平面日志（如CloudTrail、ActivityLog）C.操作系统访问日志D.防火墙流量日志答案：B解析：管理平面日志记录API调用和资源变更，是配置审计的核心证据来源。15.某S3存储桶策略包含"Principal":"*","Action":"s3:GetObject","Effect":"Allow"，这表示？A.所有人可读该桶内对象B.只有所有者可读C.只允许写操作D.该策略无效答案：A解析：Principal为*且允许s3:GetObject，意味着任何匿名用户均可读取对象。二、多项选择题（每题2分，共10分）1.云安全配置审计中，以下哪些属于网络层安全审计要点？A.安全组规则最小化B.子网是否暴露公网IPC.VPC流日志是否启用D.数据库是否启用审计日志答案：ABC解析：数据库审计日志属于数据层或应用层审计，不属于网络层审计要点。2.在AWS中，以下哪些服务可以用于安全与合规审计？A.AWSConfigB.AWSCloudTrailC.AWSGuardDutyD.AWSTrustedAdvisor答案：ABCD解析：AWSConfig记录配置，CloudTrail记录API日志，GuardDuty提供威胁检测，TrustedAdvisor提供最佳实践建议，均可辅助安全与合规审计。3.以下哪些属于云上身份与访问管理的最佳实践？A.为所有用户启用MFAB.定期轮换访问密钥C.遵循最小权限原则D.使用root账号进行日常运维答案：ABC解析：应避免使用root账号日常运维，D错误。4.云存储桶存在公共访问风险，通常由以下哪些配置造成？A.BucketPolicy中Principal为*B.ACL授予AllUsers读权限C.未启用SSE-KMS加密D.未开启日志记录答案：AB解析：公共访问风险由权限策略导致；加密和日志记录与公共访问无直接关系。5.云配置合规审计中，常用的合规框架/基准包括哪些？A.CISBenchmarksB.NISTSP800-53C.ISO/IEC27001D.SOC2答案：ABCD解析：上述均为云安全合规领域广泛采用的标准或基准。三、判断题（每题1分，共10分）1.安全组是有状态的，如果允许入站流量，对应的出站响应流量会自动被允许。答案：正确解析：有状态防火墙会跟踪连接状态，自动放行响应流量。2.云服务商负责云中所有安全，客户无需关注配置安全。答案：错误解析：共享责任模型下，客户需负责云中的身份、访问、配置等安全。3.在云环境中，使用默认管理员账号和密码是安全的，只要不对外公开。答案：错误解析：默认密码易被扫描或猜测，应修改并启用MFA。4.云资源配置审计只需要在部署时进行一次，以后无需再审计。答案：错误解析：云配置会动态变化，需持续审计以控制风险。5.AWSCloudTrail默认在所有区域启用并记录所有事件。答案：错误解析：CloudTrail需要创建跟踪才能记录事件，默认不会自动记录所有区域。6.云上数据库原则上应尽量避免公网访问，只允许来自应用服务器的私网访问。答案：正确7.使用客户管理的KMS密钥加密数据后，云服务商无法解密数据。答案：正确解析：客户管理密钥由客户控制，服务商无法直接解密使用该密钥加密的数据。8.云平台的管理平面API调用日志（如CloudTrail）对于配置变更审计至关重要。答案：正确9.在Azure中，AzurePolicy可以自动阻止不符合策略的资源部署。答案：正确解析：AzurePolicy支持Deny效果，可拒绝不符合策略的资源创建。10.云上安全组规则中，允许0.0.0.0/0访问3306端口（MySQL）是安全的，因为3306端口本身有密码保护。答案：错误解析：全网段暴露数据库端口，易受暴力破解和漏洞利用，应限制来源IP。四、简答题（每题10分，共20分）1.简述云安全配置审计的基本流程。答案：(1)确定审计范围和目标；(2)选择或制定合规基线（如CIS基准）；(3)收集云资源配置数据；(4)对比基线进行差异分析；(5)评估风险并形成审计发现；(6)输出审计报告与整改建议；(7)跟踪整改并定期复审。解析：流程应覆盖从计划、执行、报告到持续改进的完整闭环，强调持续审计而非一次性检查。2.列举至少5项常见的云安全配置风险。答案：开放性存储桶/容器；安全组或防火墙规则过度宽松；IAM权限过大或未启用MFA；数据库或关键服务暴露公网；未开启必要的日志与监控；静态数据未加密；使用默认密码或密钥长期不轮换。解析：覆盖存储、网络、身份、数据、日志等主要层面，体现云配置风险的多样性。五、案例分析题（每题15分，共30分）1.某公司在AWS上运行业务，审计发现以下配置：一个S3存储桶策略为“允许任何用户执行s3:GetObject”；一个安全组允许0.0.0.0/0访问3389端口（RDP）；root账号未启用MFA；CloudTrail未开启。请分析每项配置的风险，并提出整改建议。答案：-存储桶公共可读：可能导致敏感数据泄露。整改：移除公共策略，改用签名URL或CDN，启用默认加密和访问日志。-安全组开放RDP：易被暴力破解或利用RDP漏洞入侵。整改：限制来源IP或使用VPN/堡垒机，禁止全网段开放。-root账号未启用MFA：账号接管风险高。整改：立即启用MFA，创建IAM用户，避免使用root日常操作。-CloudTrail未开启：无法审计API调用和配置变更，无法满足合规。整改：在所有区域开启CloudTrail，设置日志完整性校验和长期存储。解析：从风险影响、合规要求（如PCIDSS、等保）和整改措施三方面分析，重点强调最小权限、MFA、审计日志。2.某企业在Azure环境中进行配置审计，发现以下问题：多个虚拟机直接分配公网IP且未使用网络安全组（NSG）限制；AzureSQL数据库未启用防火墙规则；管理员账号使用弱密码且未启用AzureAD条件访问策略。请写出审计发现、风险评估及整改方案。答案：-公网暴露且无NSG：攻击面扩大，易被扫描和入侵。整改：移除不必要的公网IP，使用AzureBastion或VPN，