2025年AWS认证ECS容器镜像安全扫描与漏洞管理专题试卷及解析.docxVIP

2025年AWS认证ECS容器镜像安全扫描与漏洞管理专题试卷及解析

2025年AWS认证ECS容器镜像安全扫描与漏洞管理专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在AWS中，用于对ECS容器镜像进行漏洞扫描的主要服务是？

A、AWSInspector

B、AmazonECR

C、AWSGuardDuty

D、AWSSecurityHub

【答案】B

【解析】正确答案是B。AmazonECR（ElasticContainerRegistry）提供了内置的镜像扫描功能，可以检测容器镜像中的安全漏洞。A选项AWSInspector主要用于EC2实例的安全评估；C选项GuardDuty是威胁检测服务；D选项SecurityHub是安全状态管理服务。知识点：ECR镜像扫描功能。易错点：容易混淆Inspector和ECR的扫描功能。

2、ECR镜像扫描功能默认检测的漏洞严重性级别不包括？

A、CRITICAL

B、HIGH

C、MEDIUM

D、INFORMATIONAL

【答案】D

【解析】正确答案是D。ECR镜像扫描默认检测CRITICAL、HIGH和MEDIUM级别的漏洞，不包含INFORMATIONAL级别。知识点：ECR扫描配置。易错点：误以为所有级别都会被扫描。

3、在ECS任务定义中，禁用容器镜像扫描的参数是？

A、scanOnPush

B、imageScanningConfiguration

C、disableScan

D、noScan

【答案】B

【解析】正确答案是B。imageScanningConfiguration参数用于控制是否启用镜像扫描。A选项scanOnPush是ECR仓库级别的设置；C、D选项不存在。知识点：ECS任务定义配置。易错点：混淆仓库级别和任务级别的扫描配置。

4、AmazonECR镜像扫描结果中，Package字段表示？

A、操作系统包

B、应用程序依赖包

C、容器运行时

D、镜像层

【答案】A

【解析】正确答案是A。Package字段表示检测到的操作系统包（如apt、yum管理的包）。知识点：ECR扫描报告解读。易错点：误以为是应用程序依赖包。

5、以下哪种漏洞类型ECR扫描无法检测？

A、操作系统漏洞

B、应用程序代码漏洞

C、第三方库漏洞

D、容器运行时漏洞

【答案】B

【解析】正确答案是B。ECR扫描主要检测操作系统和第三方库的已知漏洞，无法检测应用程序代码中的逻辑漏洞。知识点：ECR扫描范围。易错点：过高估计ECR扫描能力。

6、启用ECR镜像扫描的最低权限要求是？

A、ecr:InitiateLayerUpload

B、ecr:PutImage

C、ecr:StartImageScan

D、ecr:BatchGetImage

【答案】C

【解析】正确答案是C。ecr:StartImageScan是启动镜像扫描的必需权限。知识点：ECR权限管理。易错点：混淆上传和扫描权限。

7、ECR镜像扫描结果保留的最长时间是？

A、30天

B、60天

C、90天

D、永久保留

【答案】A

【解析】正确答案是A。ECR扫描结果默认保留30天。知识点：ECR扫描结果管理。易错点：误以为结果会永久保存。

8、以下哪种方式可以自动触发ECR镜像扫描？

A、镜像推送时

B、定时任务

C、手动触发

D、以上都可以

【答案】D

【解析】正确答案是D。ECR支持推送时自动扫描、定时扫描和手动扫描三种方式。知识点：ECR扫描触发方式。易错点：忽略定时扫描选项。

9、ECR镜像扫描使用的漏洞数据库来源是？

A、CVE数据库

B、NVD数据库

C、AWS自有数据库

D、第三方商业数据库

【答案】B

【解析】正确答案是B。ECR使用NVD（NationalVulnerabilityDatabase）作为漏洞数据源。知识点：ECR扫描数据源。易错点：误以为是AWS自有数据库。

10、在ECS任务中，如何确保使用已扫描的镜像？

A、在任务定义中指定镜像标签

B、使用镜像摘要

C、启用强制扫描

D、以上都可以

【答案】B

【解析】正确答案是B。使用镜像摘要可以确保使用特定版本的镜像，避免标签覆盖问题。知识点：镜像版本控制。易错点：忽略标签可能被覆盖的风险。

第二部分：多项选择题（共10题，每题2分）

1、ECR镜像扫描可以检测哪些类型的漏洞？

A、操作系统漏洞

B、应用程序依赖漏洞

C、配置错误

D、网络漏洞

E、权限问题

【答案】A、B

【解析】正确答案是A、B。ECR扫描主要检测操作系统和应用程序依赖的已知漏洞。C、D、E选项需要其他安全工具检测。知识点：ECR扫描能力范围。易错点：误以为能检测所有类型漏洞。

2、以下哪些是ECR镜像扫描的最佳实践？

A、启用推送时扫描

B