2025年云安全工程师考试题库（附答案和详细解析）（1005）.docxVIP

云安全工程师考试试卷

一、单项选择题（共10题，每题1分，共10分）

以下哪项不属于云安全共享责任模型中“云服务商”的责任范围？

A.物理服务器的物理安全

B.虚拟机监控程序（Hypervisor）的漏洞修复

C.用户数据的加密存储策略制定

D.云平台网络基础设施的DDos防护

答案：C

解析：云安全共享责任模型中，云服务商（CSP）负责“云基础设施”的安全（如物理安全、Hypervisor、网络防护），而用户负责“云负载”的安全（如用户数据加密策略、应用程序安全）。选项C属于用户责任，因此选C。

云环境中，“横向移动攻击”主要针对以下哪类资源？

A.跨地域数据中心的广域网链路

B.同一租户内不同虚拟机（VM）间的访问权限

C.云服务提供商的管理控制台

D.公有云与私有云之间的混合云边界

答案：B

解析：横向移动攻击是攻击者在渗透初始目标后，利用同一租户内其他资源的弱权限（如VM间未隔离的网络、共享凭证）扩大控制范围。选项B准确描述了攻击目标，其他选项涉及不同层级的边界，非横向移动核心场景。

以下哪种加密技术通常用于云存储数据的静态加密？

A.TLS1.3（传输层安全协议）

B.AES-256（高级加密标准）

C.RSA非对称加密

D.HTTPS（超文本传输安全协议）

答案：B

解析：静态数据加密（DataatRest）通常使用对称加密算法（如AES-256），因其计算效率高，适合大容量数据加密。TLS/HTTPS用于传输中数据加密（DatainTransit），RSA多用于密钥交换而非直接加密存储数据，因此选B。

云环境下，“最小权限原则”在IAM（身份与访问管理）中的典型应用是？

A.为管理员分配所有服务的完全控制权限

B.为开发人员仅开放测试环境的只读权限

C.为所有用户默认分配“查看”级权限

D.为第三方合作伙伴分配跨租户资源的访问权限

答案：B

解析：最小权限原则要求用户仅获得完成任务所需的最低权限。选项B中开发人员仅需测试环境的只读权限（非修改或删除），符合该原则；其他选项均存在权限过度分配问题。

以下哪项是容器安全的核心挑战？

A.容器镜像的漏洞扫描效率低

B.容器与宿主机共享内核的隔离风险

C.容器编排工具（如K8s）的API接口太少

D.容器日志的存储成本过高

答案：B

解析：容器通过共享宿主机内核实现轻量级隔离，若内核存在漏洞或容器配置不当（如特权模式），可能导致跨容器攻击，这是容器安全的核心挑战。其他选项（镜像扫描、API数量、日志成本）是次要问题。

SaaS服务（如Office365）的主要安全风险不包括？

A.用户凭证泄露导致的数据越权访问

B.云服务商的物理服务器宕机

C.多租户间的数据隔离失效

D.敏感数据未启用加密存储

答案：B

解析：SaaS服务的物理服务器由云服务商负责，其宕机属于可用性问题而非典型安全风险（安全风险更关注数据泄露、越权访问等）。其他选项均涉及SaaS场景下的典型安全问题。

云日志审计的核心目的是？

A.提升云服务器的计算性能

B.满足合规性要求并追溯安全事件

C.优化云存储的成本支出

D.监控云数据库的查询响应时间

答案：B

解析：日志审计通过记录用户操作、资源变更等行为，为安全事件调查（如数据泄露溯源）和合规检查（如GDPR、等保2.0）提供依据，因此选B。其他选项与审计无关。

DRaaS（灾难恢复即服务）的关键安全要求是？

A.灾难恢复演练的频率

B.恢复数据的完整性和保密性

C.云服务商的地理位置分布

D.灾难恢复的RTO（恢复时间目标）

答案：B

解析：DRaaS需确保备份数据在恢复时未被篡改（完整性）且未被非法访问（保密性），这是其核心安全要求。其他选项（演练频率、地理位置、RTO）属于可用性或效率指标。

以下哪种云安全技术属于“零信任模型”的实践？

A.基于IP白名单的访问控制

B.每次访问均验证用户身份、设备状态和环境安全

C.为内部员工分配固定VPN接入账号

D.在云边界部署传统防火墙进行流量过滤

答案：B

解析：零信任模型的核心是“永不信任，始终验证”，要求每次访问（无论内外网）均验证身份、设备健康状态（如是否安装最新补丁）、访问上下文（如位置、时间）等。选项B符合该原则，其他选项基于传统边界信任。

云环境中，“冷存储”（如AWSS3Glacier）的主要安全风险是？

A.数据访问延迟高

B.数据删除后无法恢复

C.加密密钥丢失导致数据不可用

D.多租户间的网络带宽竞争

答案：C

解析：冷存储通常采用用户管理密钥（CMK），若密钥丢失且无备份，即使数据存储安全，也会因无法解密导致永久丢失。选项A是性能问题，B（冷存储支持数据恢复但耗时）、D（网络带宽）非安全风险