云计算安全岗位理论考试题库含答案

云计算安全岗位理论考试题库含答案一、单项选择题（每题1分，共30分）云计算的核心特征是（）。A.本地部署、独占资源、固定计费B.按需自助服务、广泛网络接入、资源池化、快速弹性、可计量服务C.专用硬件、人工运维、静态扩展D.离线运行、无网络依赖、物理隔离答案：B解析：NIST定义云计算五大基本特征：按需自助服务、广泛网络接入、资源池化、快速弹性、可计量服务。在云计算服务模型中，用户只负责自身应用数据，不管理底层基础设施的是（）。A.IaaSB.PaaSC.SaaSD.IDC托管答案：C解析：SaaS（软件即服务）模式下，云服务商负责底层基础设施、中间件、应用运行环境等，用户仅使用软件功能。下列哪项属于云计算安全责任共担模型中用户必须承担的责任？（）A.物理机房安全B.虚拟化宿主机安全C.虚拟机操作系统补丁管理D.云平台网络设备维护答案：C解析：在IaaS模式中，云服务商负责物理设施、虚拟化层、网络等，用户负责虚拟机内部操作系统、应用和数据安全。云计算环境中，防止虚拟机逃逸攻击最关键的措施是（）。A.定期备份虚拟机磁盘B.对虚拟化层进行安全加固并及时更新补丁C.在虚拟机内安装杀毒软件D.开启虚拟机桌面防火墙答案：B解析：虚拟机逃逸利用虚拟化软件漏洞攻击宿主机，及时修补虚拟化平台漏洞、加固Hypervisor是核心防护手段。在多租户环境中，实现租户间网络隔离的常用技术是（）。A.VLAN/VXLANB.NATC.DNSD.DHCP答案：A解析：VLAN或VXLAN等虚拟网络技术可实现二层隔离，VXLAN还能解决大规模租户VLAN数量不足的问题。云上数据加密通常分为传输加密和（）加密两种。A.磁盘B.存储C.内存D.临时文件答案：B解析：数据加密分类常分为传输加密和存储加密（静态数据加密），存储加密又包括磁盘、对象存储、数据库等场景。在云环境中，下列哪种方式最适合保护长时间保存的敏感数据？（）A.仅使用传输层TLS加密B.使用云KMS管理的密钥进行静态数据加密C.将数据保存在内存中D.依赖防火墙规则答案：B解析：静态数据加密应使用密钥管理服务（KMS）统一管理密钥，结合桶策略、访问控制共同保护数据。云身份与访问管理（IAM）的核心功能不包括（）。A.身份认证B.授权管理C.日志审计D.流量清洗答案：D解析：流量清洗属于网络安全防护功能，不属于IAM核心功能。以下属于多因素认证（MFA）要素的是（）。A.用户名和密码B.密码与短信验证码C.两个不同的密码D.同一密码输入两次答案：B解析：多因素认证需组合“所知”“所有”“所是”中至少两类因素，密码（所知）+短信验证码（所有）符合要求。云安全审计中，用于记录云上操作行为的功能是（）。A.云监控B.访问日志C.配置审计D.漏洞扫描答案：B解析：访问日志（操作审计）记录用户登录、API调用等行为，是安全审计和溯源的重要依据。下列选项中，属于云安全合规标准的是（）。A.ISO27001B.IEEE802.11C.RFC791D.HTTP/1.1答案：A解析：ISO27001是信息安全管理体系国际标准，云服务商常以此作为合规基础。在Docker容器环境中，默认命名空间隔离了进程、网络、挂载点等，但共享（）。A.内核B.用户空间C.文件系统D.进程列表答案：A解析：容器共享宿主机内核，即使有命名空间隔离，内核漏洞仍可能影响所有容器。容器逃逸攻击中，攻击者试图获取的是（）的权限。A.容器内root用户B.宿主机内核或宿主root权限C.云管理控制台D.其他租户的APIKey答案：B解析：容器逃逸指攻击者突破容器隔离，获得宿主机文件系统或控制权。Kubernetes集群中，用于加密存储敏感信息（如密码、密钥）的对象是（）。A.ConfigMapB.SecretC.PodD.Service答案：B解析：Secret专用于存储敏感数据，ConfigMap用于非机密配置。云环境中的DDoS攻击主要针对的是（）。A.数据保密性B.可用性C.完整性D.不可否认性答案：B解析：DDoS通过消耗带宽或系统资源使服务不可用，破坏可用性。云WAF（Web应用防火墙）的主要防护对象是（）。A.网络层DDoS攻击B.SQL注入、XSS等Web应用攻击C.暴力破解SSHD.DNS劫持答案：B解析：云WAF重点防护Web应用层攻击，如SQL注入、跨站脚本、命令注入等。配置云安全组时，最小权限原则要求（）。A.开放所有端口方便业务B.只放行业务所需端口和源IPC.只允许内部IP访问所有端口D.关闭所有端口答案：B解析：安全组规则应遵循最小授权，仅开放必要端口并限制源地址。对象存储服务（如OSS、S3）中，下列哪种配置可能导致数据泄露？（）A.启用服务端加密B.存储桶策略设置为公有读C.使用生命周期规则D.开启版本控制答案：B解析：存储桶被设置为公有读时，任何人无需认证即可读取数据，属于高危配置。云上密钥管理服务（KMS）中，密钥的轮转周期主要取决于（）。A.密钥长度B.业务安全要求和合规要求C.密钥生成算法类型D.存储介质类型答案：B解析：密钥轮转周期由组织安全策略、数据敏感程度及合规要求共同决定。以下哪项不是云安全态势管理（CSPM）的主要功能？（）A.持续监控云资源配置B.检测错误配置和合规风险C.自动修复部分安全配置D.绕过云服务商限制答案：D解析：CSPM用于发现云环境中的配置风险和合规偏差，不能也不应绕过云服务商限制。在云上实现零信任安全模型时，强调的核心原则是（）。A.信任内网，不信任外网B.永不信任，始终验证C.基于边界防护D.依赖单一密码认证答案：B解析：零信任“永不信任，始终验证”要求每个访问请求都经过身份认证、授权和加密。云数据库实例的备份文件被加密后，用于解密备份的密钥应存放在（）。A.备份文件头部B.云KMS或专用密钥管理系统C.与备份文件相同的存储桶中D.Web服务器根目录答案：B解析：密钥应与密文分开管理，由KMS或独立密钥管理系统保管，防止密钥随备份泄露。在公有云中，租户间默认的网络隔离主要依赖（）。A.共享交换机端口B.虚拟私有云（VPC）及其子网隔离C.公共路由表D.全局广播域名答案：B解析：公有云通过VPC实现租户网络隔离，不同租户的资源位于独立虚拟网络中。云安全事件应急响应中，第一步通常是（）。A.隔离受影响的云资源B.通知所有用户C.删除全部日志D.关闭云账户答案：A解析：应急响应首先应遏制事态蔓延，隔离受感染实例、暂停异常APIKey等。相比于传统数据中心，云计算安全的主要变化是（）。A.安全责任完全转移给云服务商B.安全责任共担、边界模糊化、多租户安全C.不再需要安全运维D.安全完全依赖物理隔离答案：B解析：云计算采用责任共担模式，安全边界从物理边界变为身份/策略边界，并面临多租户风险。用于保护云上API安全的最佳实践是（）。A.将APIKey嵌入前端代码B.对API调用进行认证、限流、审计和加密C.完全开放API以便调用D.只使用BasicAuth且不加密答案：B解析：API安全需结合认证授权、流量控制、操作审计及TLS加密等手段。云工作负载保护平台（CWPP）主要防护的对象是（）。A.物理服务器B.云主机、容器、无服务器等多种云工作负载C.网络设备D.办公终端答案：B解析：CWPP为混合多云环境中的工作负载（虚拟机、容器、Serverless等）提供统一安全防护。在KubernetesRBAC中，“Role”和“ClusterRole”的区别是（）。A.Role只能授权给用户，ClusterRole只能授权给服务账户B.Role在命名空间内生效，ClusterRole在集群范围内生效C.Role权限更大，ClusterRole权限更小D.两者完全等价答案：B解析：Role授权资源位于特定Namespace，ClusterRole可授权集群级资源或跨Namespace资源。云环境中，防止敏感数据被员工从控制台导出或下载的措施包括（）。A.禁用所有日志记录B.实施数据防泄漏（DLP）策略与操作审计C.关闭对象存储版本控制D.取消所有访问权限答案：B解析：DLP策略可识别并阻止敏感数据外发，同时通过操作审计留痕。下列哪一项是云安全架构设计中的“纵深防御”思想？（）A.采用单一防火墙即可保证安全B.在网络、主机、应用、数据、身份等多个层面部署安全防护C.将所有防护集中在网络边界D.同一类防护重复部署在一个位置答案：B解析：纵深防御强调多层防护，任何一层失效时其他层仍可阻断风险。二、多项选择题（每题2分，共20分）云计算安全责任共担模型中，云服务商通常负责（）。A.物理基础设施安全B.虚拟化层安全C.租户应用代码安全D.云平台基础网络安全答案：A、B、D解析：租户应用代码、租户数据及租户内权限管理由客户负责。下列属于云数据安全防护措施的有（）。A.静态数据加密B.传输数据TLS加密C.数据脱敏D.定期删除数据答案：A、B、C解析：定期删除数据属于生命周期管理，不是防护措施。云环境中常见的身份管理方式包括（）。A.单点登录（SSO）B.联合身份认证（Federation）C.多因素认证（MFA）D.明文密码存储答案：A、B、C解析：明文存储密码是危险做法，不属于身份管理方式。针对Kubernetes集群的安全加固措施包括（）。A.启用RBAC授权B.设置Pod安全上下文和SecurityContextC.使用NetworkPolicy限制Pod间通信D.以特权模式运行所有容器答案：A、B、C解析：特权容器会扩大攻击面，应尽量避免。云上DDoS防护手段有（）。A.流量清洗B.弹性带宽扩容C.源站IP隐藏D.在源站部署WAF即可完防答案：A、B、C解析：WAF主要防护应用层攻击，单靠WAF不能有效防御大流量DDoS。云安全日志审计应覆盖的对象包括（）。A.管理控制台操作B.API调用记录C.网络访问日志D.数据库查询日志答案：A、B、C、D解析：完整的审计链条应覆盖用户操作、API、网络安全和数据库访问等多类日志。下列属于云安全合规要求来源的有（）。A.国家网络安全法B.等级保护2.0标准C.行业监管要求（如金融、医疗）D.企业内部安全制度答案：A、B、C、D解析：合规既包括外部法律法规与标准，也包括企业内部安全管理要求。在云环境中，防止敏感数据泄露的措施包括（）。A.对存储桶设置私有权限B.启用数据分类分级C.使用数据防泄漏（DLP）产品D.关闭操作日志答案：A、B、C解析：关闭操作日志会降低审计能力，反而增加泄露风险。云上密钥管理的最佳实践包括（）。A.使用硬件安全模块（HSM）保护根密钥B.定期轮转密钥C.将密钥明文备份到对象存储D.为不同业务使用独立密钥答案：A、B、D解析：密钥明文备份到对象存储属于严重违规行为，应避免。云原生安全中的“不可变基础设施”理念具备的优势有（）。A.避免配置漂移B.便于快速回滚C.减少持续手工运维带来的风险D.允许随意登录修改生产环境配置答案：A、B、C解析：不可变基础设施要求以镜像/模板重建实例，禁止直接修改生产环境。三、判断题（每题1分，共20分）在公有云中，安全责任完全由云服务商承担。答案：错误解析：按照责任共担模型，用户也需承担应用、数据、身份等层面安全责任。云安全组是一种虚拟防火墙，可以控制实例的入方向和出方向流量。答案：正确对象存储桶设置为公有读时，任何知道URL的人都可以下载其中文件。答案：正确多因素认证（MFA）只能使用短信验证码一种方式。答案：错误解析：MFA可采用硬件令牌、TOTP、生物识别等多种因素。云上的数据加密只需要关注传输加密，静态数据可以不加密。答案：错误解析：静态数据加密同样重要，可防止存储介质泄露或备份泄露导致的数据暴露。虚拟私有云（VPC）中的不同子网之间默认完全隔离，不能互相通信。答案：错误解析：VPC内子网默认可通过路由表互通，是否隔离取决于路由规则和安全组。Kubernetes的Secret对象默认以Base64编码存储，因此安全性很高。答案：错误解析：Base64只是编码而非加密，需结合密钥加密（如KMS集成）保护Secret。容器与虚拟机一样，拥有独立的操作系统内核。答案：错误解析：容器共享宿主机内核，虚拟机才有独立GuestOS和内核。云堡垒机（运维审计系统）可以记录运维人员的操作行为，用于事后审计。答案：正确在云安全事件响应中，先分析日志再隔离受感染实例。答案：错误解析：应先隔离受感染资源，防止横向扩散，然后再取证分析。安全配置审查工具可以自动发现云资源的错误配置。答案：正确只要使用了强密码，就不需要启用MFA。答案：错误解析：强密码不足以防御撞库与钓鱼，MFA能显著提升账户安全性。云WAF可以完全替代网络层防火墙。答案：错误解析：WAF专注于应用层防护，不能替代网络层ACL、安全组、DDoS防护等。IAM策略中，显式拒绝（Deny）的优先级高于允许（Allow）。答案：正确云上所有账号都应当遵循最小权限原则，包括管理员账号。答案：正确日志文件可以包含敏感信息，也需要进行访问控制和加密保护。答案：正确定期备份是应对勒索软件攻击的重要措施。答案：正确在DevOps流程中，安全团队应独立于开发团队之外，不参与CI/CD。答案：错误解析：DevSecOps要求安全融入CI/CD全流程。云服务的可用性由云服务商完全保证，用户无需关注。答案：错误解析：用户业务架构（如多可用区部署、容灾设计）也影响整体可用性。等保2.0中，云平台及其上租户系统均需按相应级别开展测评。答案：正确四、简答题（每题5分，共20分）简述云计算“责任共担模型”的基本含义。答案：云服务商负责“云自身安全”，包括物理基础设施、虚拟化层、云平台网络与管理系统等；用户负责“云中安全”，包括自身应用、数据、操作系统（IaaS场景）、身份与访问管理、安全配置及合规要求。不同服务模式（IaaS、PaaS、SaaS）下责任边界有所不同。列举至少4种云上敏感数据保护手段。答案：(1)静态数据加密；(2)传输加密（TLS/HTTPS）；(3)数据脱敏；(4)访问控制与最小权限；(5)数据分类分级；(6)数据防泄漏（DLP）与审计。什么是云安全态势管理（CSPM）？其主要作用是什么？答案：CSPM是用于持续评估云安全态势的工具与服务。主要作用包括：自动发现云资源、检测错误配置和合规风险、识别暴露的攻击面，并可联动自动化修复，帮助组织防范因配置不当导致的数据泄露与安全事件。简述KubernetesRBAC的作用及基本组成元素。答案：KubernetesRBAC用于控制用户、服务账户对集群资源的访问权限。基本元素包括：Subject（用户/组/服务账户）、Resource（Pod、Deployment、Service等）、Verb（get、list、create、delete等）、Role或ClusterRole（权限集合），以及RoleBinding或ClusterRoleBinding（将权限绑定到