2025年AWS认证Lambda函数审计与合规性检查专题试卷及解析.docxVIP

2025年AWS认证Lambda函数审计与合规性检查专题试卷及解析

2025年AWS认证Lambda函数审计与合规性检查专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在进行AWSLambda函数的合规性审计时，以下哪项服务最适合用于自动检测函数配置中的安全漏洞？

A、AWSCloudTrail

B、AmazonInspector

C、AWSConfig

D、AWSCloudWatch

【答案】C

【解析】正确答案是C。AWSConfig专门用于持续监控和评估AWS资源配置的合规性，能够自动检测Lambda函数配置是否符合预设规则。A选项CloudTrail主要记录API调用日志，B选项Inspector专注于EC2实例漏洞扫描，D选项CloudWatch用于监控和日志收集，都不适合配置合规性检查。知识点：AWSConfig的合规性评估功能。易错点：容易混淆Inspector和Config的功能范围。

2、Lambda函数的执行角色应该遵循最小权限原则，以下哪种权限管理方式最符合这一原则？

A、直接附加AWSLambdaFullAccess策略

B、使用IAM角色并仅授予必要的特定权限

C、使用根用户凭证

D、禁用所有权限

【答案】B

【解析】正确答案是B。最小权限原则要求只授予完成任务所需的最小权限，使用IAM角色并精确控制权限是最符合这一原则的做法。A选项FullAccess权限过大，C选项根用户违反安全最佳实践，D选项完全禁用权限会导致函数无法执行。知识点：IAM最小权限原则。易错点：实际操作中为图方便常使用FullAccess策略。

3、当需要审计Lambda函数的环境变量是否包含敏感信息时，应该优先使用哪种方法？

A、直接查看函数配置页面

B、使用AWSSecretsManager

C、启用KMS加密环境变量

D、通过CloudTrail日志分析

【答案】C

【解析】正确答案是C。启用KMS加密可以确保环境变量中的敏感信息在存储和传输过程中都得到保护，这是审计敏感信息的最佳实践。A选项直接查看存在安全风险，B选项SecretsManager更适合管理密码等凭证，D选项CloudTrail不记录环境变量内容。知识点：Lambda环境变量加密。易错点：容易混淆SecretsManager和环境变量加密的适用场景。

4、以下哪项是Lambda函数在PCIDSS合规性检查中的关键要求？

A、函数必须部署在VPC内

B、必须启用XRay追踪

C、需要定期轮换访问密钥

D、必须使用预配置并发

【答案】A

【解析】正确答案是A。PCIDSS要求数据存储在隔离的网络环境中，因此Lambda函数需要部署在VPC内才能满足合规要求。B选项XRay是可选项，C选项密钥轮换是通用安全要求，D选项预配置并发与合规性无关。知识点：PCIDSS对网络隔离的要求。易错点：容易将通用安全要求与特定合规标准混淆。

5、在审计Lambda函数的日志记录时，以下哪种配置最符合SOX合规要求？

A、禁用所有日志记录

B、仅记录错误日志

C、启用完整日志并长期保存

D、使用第三方日志服务

【答案】C

【解析】正确答案是C。SOX法案要求完整的审计轨迹，因此需要启用所有日志并长期保存以满足审计要求。A和B选项日志不完整，D选项第三方服务可能不符合合规要求。知识点：SOX对日志记录的要求。易错点：容易低估SOX对日志完整性的严格要求。

6、Lambda函数的代码扫描应该使用哪种AWS服务？

A、AWSCodeBuild

B、AmazonCodeGuru

C、AWSCodePipeline

D、AWSCodeCommit

【答案】B

【解析】正确答案是B。CodeGuru专门提供代码质量分析和安全扫描功能，最适合Lambda函数代码审计。A选项CodeBuild是构建工具，C选项CodePipeline是CI/CD服务，D选项CodeCommit是代码仓库。知识点：AWS代码分析服务。易错点：容易混淆CodeGuru和CodeBuild的功能。

7、在GDPR合规性检查中，Lambda函数处理个人数据时必须满足什么要求？

A、数据必须存储在欧盟境内

B、必须使用Lambda预留并发

C、需要实现数据删除功能

D、必须启用LambdaLayers

【答案】C

【解析】正确答案是C。GDPR要求数据主体有权要求删除个人数据，因此函数必须实现数据删除功能。A选项数据本地化是部分国家的特殊要求，B和D选项与GDPR无关。知识点：GDPR的数据删除权。易错点：容易将数据本地化要求误认为是GDPR通用要求。

8、审计Lambda函数的依赖项漏洞时，应该优先检查哪个方面？

A、依赖项版本是否最新

B、依赖项是否来自AWS官方