2025年AWS认证VPC流日志分析与网络监控专题试卷及解析.pdfVIP

2025年AWS认证VPC流日志分析与网络监控专题试卷及解析1

2025年AWS认证VPC流日志分析与网络监控专题试卷

及解析

2025年AWS认证VPC流日志分析与网络监控专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、VPC流日志默认捕获的流量类型是什么？

A、所有进出VPC的流量

B、仅进出互联网网关的流量

C、仅受安全组和网络ACL控制的流量

D、仅进出NAT网关的流量

【答案】C

【解析】正确答案是C。VPC流日志默认捕获受安全组和网络ACL控制的流量，这

是AWS的核心设计逻辑。A选项错误是因为流日志不会捕获所有流量（如DHCP、元

数据服务）；B选项错误是因为流日志范围不限于IGW；D选项错误是因为NAT网关

流量只是其中一部分。知识点：VPC流日志捕获范围。易错点：误以为流日志会记录

所有网络流量。

2、VPC流日志可以发布到以下哪种目标？

A、仅CloudWatchLogs

B、仅S3存储桶

C、CloudWatchLogs或S3存储桶

D、仅KinesisDataFirehose

【答案】C

【解析】正确答案是C。AWS支持将流日志发布到CloudWatchLogs或S3存储桶，

这是官方明确支持的两种方式。A和B选项都过于局限；D选项错误是因为Kinesis

Firehose不是直接支持的目标。知识点：流日志存储目标。易错点：混淆不同AWS服

务的日志存储能力。

3、流日志记录中的”REJECT”状态表示什么？

A、流量被安全组拒绝

B、流量被网络ACL拒绝

C、流量被任何安全层拒绝

D、流量被路由表拒绝

【答案】C

【解析】正确答案是C。“REJECT”表示流量被任何安全层（安全组或NACL）拒绝，

这是AWS文档的明确定义。A和B选项都只涵盖部分情况；D选项错误是因为路由表

2025年AWS认证VPC流日志分析与网络监控专题试卷及解析2

不会产生REJECT状态。知识点：流日志状态字段含义。易错点：忽略安全组和NACL

的联合作用。

4、启用VPC流日志会对网络性能产生什么影响？

A、显著增加延迟

B、轻微增加CPU使用率

C、完全不影响性能

D、必须重启实例

【答案】B

【解析】正确答案是B。AWS官方说明流日志会有轻微的CPU开销，但不会影响

网络性能。A选项错误是因为不会显著增加延迟；C选项过于绝对；D选项错误是因为

不需要重启实例。知识点：流日志性能影响。易错点：误以为日志记录会严重影响性能。

5、流日志记录中的”5”号协议代表什么？

A、TCP

B、UDP

C、ICMP

D、SCTP

【答案】C

【解析】正确答案是C。协议号5对应ICMP，这是标准的IANA协议编号。A是

6，B是17，D是132。知识点：常见协议编号。易错点：混淆TCP/UDP的协议编号。

6、分析流日志时，发现某个实例有大量”REJECT”记录，最可能的原因是？

A、实例正在被DDoS攻击

B、安全组配置过于严格

C、网络ACL配置错误

D、实例操作系统防火墙问题

【答案】B

【解析】正确答案是B。流日志记录的是AWS层面的拒绝，最常见原因是安全组配

置。A选项不一定导致REJECT；C选项可能但不如B常见；D选项不会出现在流日

志中。知识点：流日志分析场景。易错点：忽略AWS安全层与操作系统防火墙的区别。

7、VPC流日志的默认保留期是多少？

A、7天

B、30天

C、永久保留

D、不自动删除

【答案】D

2025年AWS认证VPC流日志分析与网络监控专题试卷及解析