2025年云安全工程师考试题库（附答案和详细解析）（1126）.docxVIP

云安全工程师考试试卷

一、单项选择题（共10题，每题1分，共10分）

以下哪项是SaaS模式下云服务提供商的主要安全责任？

A.操作系统补丁管理

B.应用程序漏洞修复

C.物理服务器维护

D.用户数据加密密钥管理

答案：B

解析：SaaS（软件即服务）模式中，云服务商负责应用程序本身的安全（如漏洞修复），用户负责数据和账户安全。A（操作系统）和C（物理服务器）属于IaaS责任范围；D（密钥管理）通常由用户或双方约定，非SaaS核心责任。

云环境中，防止数据泄露的最基础控制措施是？

A.部署Web应用防火墙（WAF）

B.实施数据加密（静态+传输）

C.启用多因素认证（MFA）

D.定期进行漏洞扫描

答案：B

解析：数据泄露的核心风险是数据未受保护，加密（静态存储加密、传输时TLS加密）是防止泄露的基础。A（WAF）防应用层攻击，C（MFA）防身份冒用，D（漏洞扫描）防系统弱点，均非直接针对数据泄露。

云安全联盟（CSA）提出的“云控制矩阵（CCM）”主要用于？

A.评估云服务的性能指标

B.规范云数据的存储格式

C.指导云安全控制措施的实施

D.定义云服务的SLA标准

答案：C

解析：CCM（CloudControlMatrix）是CSA发布的云安全控制框架，包含13个领域的133项控制措施，用于指导云安全实践。A（性能）、B（存储格式）、D（SLA）均非其核心目标。

容器化云环境中，最易导致镜像被恶意篡改的风险点是？

A.容器运行时资源限制不足

B.镜像仓库未启用签名验证

C.容器网络策略配置过松

D.容器日志未开启审计

答案：B

解析：镜像仓库若未启用数字签名验证，攻击者可篡改镜像并上传，导致所有使用该镜像的容器感染恶意代码。A（资源限制）影响稳定性，C（网络策略）影响访问控制，D（日志审计）影响溯源，均非镜像篡改的直接原因。

以下哪种云安全威胁属于“横向移动”攻击？

A.外部攻击者通过DDoS瘫痪云服务器

B.内部用户越权访问其他租户数据库

C.恶意软件从被攻陷的虚拟机渗透至同一VPC内的数据库

D.API接口因输入验证缺失导致SQL注入

答案：C

解析：横向移动指攻击者在已控制某资源后，尝试渗透同一环境内的其他资源（如同一VPC内的数据库）。A（DDoS）是拒绝服务，B（越权访问）是权限滥用，D（SQL注入）是应用层攻击，均不属于横向移动。

服务器less（无服务器）架构的主要安全挑战是？

A.物理服务器的硬件漏洞

B.函数代码的安全风险

C.网络带宽的限制

D.操作系统的补丁管理

答案：B

解析：服务器less架构中，用户仅需编写函数代码（如AWSLambda），无需管理服务器，但函数代码若存在漏洞（如未校验输入、敏感信息硬编码）会直接导致安全事件。A、D（服务器相关）由云服务商负责，C（带宽）是性能问题。

云环境中，符合“最小权限原则”的访问控制策略是？

A.为所有管理员分配完全控制权限

B.按角色分配仅完成任务所需的最小权限

C.允许开发人员访问生产环境数据库

D.临时账户无需设置自动过期时间

答案：B

解析：最小权限原则要求用户/角色仅获得完成任务所需的最小权限。A（完全控制）违反原则，C（开发访问生产库）非必要，D（临时账户无过期）增加越权风险。

云审计日志的核心作用是？

A.提升云服务的响应速度

B.验证安全控制措施的有效性

C.优化云资源的分配效率

D.降低云服务的使用成本

答案：B

解析：审计日志记录用户操作、系统事件等，用于追溯安全事件、验证访问控制是否生效（如是否有越权操作），是合规性和事件调查的关键依据。A（响应速度）、C（资源分配）、D（成本）与审计无关。

零信任模型的核心假设是？

A.内网环境绝对安全

B.所有访问请求都不可信

C.设备身份无需持续验证

D.网络边界可以完全隔离

答案：B

解析：零信任模型的核心是“永不信任，始终验证”，假设任何访问请求（无论来自内网/外网）都可能不可信，需通过身份、设备状态、上下文等多因素持续验证。A、C、D均与零信任理念相悖。

云原生安全中，服务网格（ServiceMesh）的主要功能是？

A.管理容器的生命周期

B.加密微服务间的通信

C.优化云存储的读写性能

D.监控虚拟机的CPU使用率

答案：B

解析：服务网格通过Sidecar代理实现微服务间的通信管理（如加密、认证、流量控制），是云原生架构中保障服务间安全的关键技术。A（容器生命周期）由Kubernetes管理，C（存储性能）与存储引擎相关，D（虚拟机监控）属于传统监控范畴。

二、多项选择题（共10题，每题2分，共20分）

云数据生命周期的安全措施包括以下哪些阶段？（）

A.数据生成时的脱敏处理

B.数据传