2025年AWS认证AmazonCognito用户池安全最佳实践专题试卷及解析.docxVIP

2025年AWS认证AmazonCognito用户池安全最佳实践专题试卷及解析

2025年AWS认证AmazonCognito用户池安全最佳实践专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在AmazonCognito用户池中，为了防止暴力破解攻击，以下哪种配置是最佳实践？

A、禁用密码复杂度要求

B、启用高级安全功能中的自适应认证

C、允许用户使用常见弱密码

D、关闭多因素认证（MFA）

【答案】B

【解析】正确答案是B。自适应认证可以根据登录风险动态要求额外验证，有效防止暴力破解。A和C会降低安全性，D移除了重要的安全层。知识点：Cognito高级安全功能。易错点：可能误认为禁用密码要求能提升用户体验，但会牺牲安全性。

2、当需要强制用户定期更新密码时，应配置用户池的哪个设置？

A、密码过期时间

B、临时密码有效期

C、用户池ID

D、客户端密钥

【答案】A

【解析】正确答案是A。密码过期时间强制用户定期更换密码，符合安全最佳实践。B仅适用于首次登录，C和D是标识符而非安全配置。知识点：密码策略配置。易错点：容易混淆临时密码和密码过期的适用场景。

3、以下哪种MFA方式在Cognito中安全性最高？

A、短信验证码

B、电子邮件验证码

C、基于时间的一次性密码（TOTP）

D、无MFA

【答案】C

【解析】正确答案是C。TOTP通过认证器应用生成，不易被拦截，比短信和邮件更安全。D完全无MFA风险最高。知识点：MFA类型比较。易错点：可能认为短信更方便，但存在SIM卡劫持风险。

4、在用户池中启用未经验证的账户威胁防护功能主要针对哪种攻击？

A、SQL注入

B、跨站脚本（XSS）

C、凭证填充攻击

D、分布式拒绝服务（DDoS）

【答案】C

【解析】正确答案是C。该功能专门检测大量未验证账户的创建，常用于凭证填充攻击。A和B属于应用层攻击，D是网络层攻击。知识点：Cognito威胁防护机制。易错点：可能误认为该功能能防御所有攻击类型。

5、当需要限制特定IP地址访问用户池时，应使用哪种AWS服务？

A、AWSWAF

B、AWSShield

C、AmazonGuardDuty

D、AWSIAM

【答案】A

【解析】正确答案是A。WAF可基于IP地址过滤请求，适用于Cognito。B是DDoS防护，C是威胁检测，D是权限管理。知识点：AWS安全服务集成。易错点：容易混淆WAF和Shield的适用场景。

6、用户池的设备记忆功能主要用于什么？

A、存储用户设备信息

B、减少MFA提示频率

C、跟踪设备位置

D、限制设备数量

【答案】B

【解析】正确答案是B。设备记忆允许信任的设备跳过MFA，平衡安全性和用户体验。A是副作用，C和D不是主要目的。知识点：设备记忆机制。易错点：可能误认为该功能主要用于设备管理。

7、在Cognito中，以下哪种做法违反最小权限原则？

A、为Lambda触发器分配最小必要权限

B、使用预定义的AWS托管策略

C、为用户池客户端分配管理员权限

D、定期审查IAM角色

【答案】C

【解析】正确答案是C。管理员权限远超客户端所需，违反最小权限原则。A、B、D都是最佳实践。知识点：IAM权限管理。易错点：可能认为使用托管策略不安全，但实际AWS已优化。

8、当检测到可疑登录活动时，Cognito可以自动执行哪种操作？

A、删除用户账户

B、要求额外验证

C、锁定用户账户

D、发送通知邮件

【答案】B

【解析】正确答案是B。自适应认证可动态要求额外验证。A和C过于激进，D需要额外配置。知识点：自适应认证响应。易错点：可能误认为系统会自动锁定账户。

9、用户池的风险配置中，事件风险主要评估什么？

A、用户行为异常

B、登录频率

C、IP地址信誉

D、设备指纹

【答案】A

【解析】正确答案是A。事件风险分析用户行为模式。B是频率分析，C和D属于其他风险维度。知识点：风险配置类型。易错点：容易混淆不同风险维度的评估对象。

10、在Cognito中，以下哪种做法最符合安全最佳实践？

A、硬编码客户端密钥

B、使用HTTPS通信

C、禁用日志记录

D、共享用户池客户端

【答案】B

【解析】正确答案是B。HTTPS确保传输安全。A、C、D都会增加安全风险。知识点：通信安全。易错点：可能认为禁用日志能保护隐私，但会影响安全审计。

第二部分：多项选择题（共10题，每题2分）

1、以下哪些是Cognito用户池密码策略的最佳实践？

A、要求最小长度8位

B、禁止使用常见密码

C、要求包含特殊字符

D、允许重复使用旧密码

E、强制大小写混合

【答案】A、B、C、E

【解析】正确答案是A、B、C、E。这些都是强密码策略要素。D允许重用旧密码会降低安全性。知识点：密码策略配置。易错点：可能认为特殊字符要求会