2025年云安全工程师考试题库（附答案和详细解析）（1207）.docxVIP

云安全工程师考试试卷

一、单项选择题（共10题，每题1分，共10分）

云安全中“最小权限原则”的核心要求是？

A.用户只需获得完成任务所需的最低权限

B.所有用户初始权限为管理员权限

C.权限分配应优先考虑便捷性

D.权限无需定期审查

答案：A

解析：最小权限原则要求用户或进程仅获得完成任务所需的最小权限，以降低越权操作风险（A正确）。B违反“最小”要求；C混淆了安全与便捷的优先级；D未体现动态管理要求（错误）。

以下哪种攻击是云环境中最常见的针对API的威胁？

A.跨站脚本攻击（XSS）

B.未授权访问

C.缓冲区溢出

D.ARP欺骗

答案：B

解析：云API通常暴露在公网，若身份验证或授权机制缺失易导致未授权访问（B正确）。XSS主要针对Web应用前端；缓冲区溢出多见于传统软件；ARP欺骗是局域网攻击（均非API核心威胁）。

云环境中，SaaS模式下用户的主要安全责任是？

A.基础设施维护

B.应用程序漏洞修复

C.用户数据加密与访问控制

D.物理服务器安全

答案：C

解析：SaaS模式中，云服务商负责基础设施（IaaS层）、应用程序（PaaS层）和SaaS应用本身的安全，用户需管理自身数据及用户权限（C正确）。A、B、D均为服务商责任。

以下哪种加密算法属于非对称加密？

A.AES-256

B.RSA

C.SHA-256

D.DES

答案：B

解析：非对称加密使用公私钥对，RSA是典型代表（B正确）。AES、DES是对称加密；SHA-256是哈希算法（错误）。

云安全合规中，“等保2.0”要求云平台需通过几级认证？

A.一级（自主保护级）

B.二级（指导保护级）

C.三级（监督保护级）

D.四级（强制保护级）

答案：C

解析：等保2.0规定，关键信息基础设施（如云平台）需通过三级认证（C正确）。一级、二级为基础系统，四级为极高敏感系统（错误）。

容器安全中，“镜像漏洞”的主要风险是？

A.容器间网络隔离失效

B.恶意代码随镜像分发至所有实例

C.容器资源占用过高

D.容器编排工具配置错误

答案：B

解析：容器镜像若包含漏洞（如未修复的系统补丁），会被所有基于该镜像创建的容器继承，导致大规模风险（B正确）。A是网络安全问题；C是资源管理问题；D是编排配置问题（错误）。

云环境中，DDoS攻击的主要防护手段是？

A.关闭所有公网IP

B.启用云服务商的DDoS防护服务（如AWSShield）

C.增加服务器内存

D.禁用TCP协议

答案：B

解析：云服务商提供的DDoS防护服务（如流量清洗、黑洞路由）是最有效的应对手段（B正确）。A影响业务可用性；C、D无法解决流量型攻击（错误）。

零信任架构的核心假设是？

A.内网环境绝对安全

B.所有访问请求均不可信

C.设备身份无需验证

D.数据无需加密传输

答案：B

解析：零信任要求“永不信任，始终验证”，默认所有访问（包括内网）不可信（B正确）。A是传统边界安全的假设；C、D违背零信任原则（错误）。

云日志审计的主要目的是？

A.提升服务器性能

B.满足合规要求并追踪安全事件

C.减少存储成本

D.优化网络带宽

答案：B

解析：日志审计用于记录用户操作、系统事件，是合规（如GDPR）的必要条件，也是安全事件溯源的关键（B正确）。A、C、D与日志功能无关（错误）。

以下哪项不属于云安全中的“数据主权”要求？

A.关键数据本地存储

B.数据跨境传输需审批

C.数据加密算法自主可控

D.数据备份至海外云服务商

答案：D

解析：数据主权要求数据存储和处理受本地法律管辖，备份至海外可能违反主权原则（D错误）。A、B、C均为数据主权典型要求（正确）。

二、多项选择题（共10题，每题2分，共20分）

云安全的关键技术包括（）

A.数据加密（传输/存储）

B.访问控制（IAM）

C.日志与审计

D.负载均衡

答案：ABC

解析：加密（保护数据机密性）、IAM（控制访问权限）、日志审计（追踪操作）是云安全核心技术（ABC正确）。负载均衡是架构优化技术，与安全无直接关联（D错误）。

云环境中常见的内部威胁包括（）

A.恶意员工泄露数据

B.云服务商运维人员越权操作

C.DDoS攻击

D.容器镜像注入恶意代码

答案：AB

解析：内部威胁指授权用户的滥用行为（A、B正确）。DDoS是外部攻击（C错误）；容器镜像攻击属于供应链风险（D错误）。

以下符合“零信任”实施原则的是（）

A.基于设备状态（如补丁情况）动态授权

B.所有访问需验证身份（用户+设备）

C.内网用户无需额外验证

D.根据上下文（如位置、时间）调整权限

答案：ABD

解析：零信任要求持续验证身份、设备状态及上下文（A、B、D正确）