2025年信息系统安全专家安全运营中心云环境日志与事件数据采集专题试卷及解析.pdfVIP

2025年信息系统安全专家安全运营中心云环境日志与事件数据采集专题试卷及解析1

2025年信息系统安全专家安全运营中心云环境日志与事件

数据采集专题试卷及解析

2025年信息系统安全专家安全运营中心云环境日志与事件数据采集专题试卷及解

析

第一部分：单项选择题（共10题，每题2分）

1、在云环境中，为了全面收集安全事件日志，安全运营中心（SOC）应优先采集

以下哪种日志类型？

A、应用程序性能监控日志

B、云平台审计日志

C、用户行为分析日志

D、网络流量日志

【答案】B

【解析】正确答案是B。云平台审计日志记录了所有对云资源的操作和管理行为，是

安全事件溯源的核心数据源。A选项主要关注性能而非安全；C选项属于衍生分析数

据；D选项虽然重要但覆盖面有限。知识点：云日志采集优先级。易错点：容易将网络

流量日志误认为最全面。

2、AWSCloudTrail日志主要用于记录什么内容？

A、EC2实例的系统日志

B、API调用和管理操作

C、VPC流量数据

D、RDS数据库查询日志

【答案】B

【解析】正确答案是B。CloudTrail专门记录AWS服务API调用和账户管理活

动。A选项由CloudWatchLogs收集；C选项由VPCFlowLogs处理；D选项需要

开启RDS审计功能。知识点：云服务日志类型区分。易错点：容易混淆CloudTrail与

CloudWatch的功能。

3、在多云环境中，统一日志采集架构应优先考虑哪个特性？

A、厂商特定优化

B、跨平台兼容性

C、实时处理能力

D、存储成本最低

【答案】B

【解析】正确答案是B。多云环境的核心挑战是异构性，跨平台兼容性是基础要求。

A选项会形成数据孤岛；C和D是次要考虑因素。知识点：多云日志采集原则。易错

2025年信息系统安全专家安全运营中心云环境日志与事件数据采集专题试卷及解析2

点：容易过度关注性能而忽视兼容性。

4、Kubernetes审计日志默认记录哪些操作？

A、容器内部进程调用

B、APIServer请求

C、Pod网络通信

D、存储卷读写

【答案】B

【解析】正确答案是B。K8s审计日志专门记录APIServer的所有请求。A选项需

要eBPF等技术；C选项由CNI插件处理；D选项属于存储层日志。知识点：容器日

志分层。易错点：容易将审计日志与系统日志混淆。

5、云环境日志采集时，以下哪种方法最符合最小权限原则？

A、使用根账户凭证

B、创建专用IAM角色

C、共享现有访问密钥

D、开启全局日志收集

【答案】B

【解析】正确答案是B。专用IAM角色可实现精确权限控制。A选项违反安全基

线；C选项导致权限扩散；D选项可能收集敏感数据。知识点：云访问控制最佳实践。

易错点：容易忽视权限最小化原则。

6、AzureMonitor与AzureSentinel的主要区别是什么？

A、数据存储位置不同

B、前者侧重监控后者侧重SIEM

C、支持的日志格式不同

D、计费模式差异

【答案】B

【解析】正确答案是B。Monitor是基础监控平台，Sentinel是原生SIEM解决方案。

A选项两者都使用LogAnalytics；C选项支持格式基本相同；D选项计费模式类似。知

识点：云安全服务定位。易错点：容易将监控与SIEM功能混淆。

7、在GCP中，CloudLogging默认不收集以下哪种日志？

A、ComputeEngine系统日志

B、VPC流日志

C、Kubernetes引擎日志

D、CloudSQL审计日志

【答案】B

2025年信息系统安全专家安全运营中心云环境日志与事件数据采集专题试卷及解析3

【解析】正确答案是B。VPC流日志需要单独配置启用。A、C、D选项默认集成。

知识点：GCP日志服务范围。易错点：误以为所有日志默认开启。

8、云环境日志采集的”拉取模式”主要适用于什么