2025年云安全工程师考试题库（附答案和详细解析）（1127）.docxVIP

云安全工程师考试试卷

一、单项选择题（共10题，每题1分，共10分）

云服务模型中，用户对操作系统安全负主要责任的是？

A.IaaS（基础设施即服务）

B.PaaS（平台即服务）

C.SaaS（软件即服务）

D.DaaS（桌面即服务）

答案：A

解析：IaaS模式下，用户需自行管理操作系统、中间件和应用程序，因此对操作系统的安全补丁、配置等负主要责任；PaaS用户主要管理应用程序，服务商负责底层平台；SaaS用户仅使用应用，所有底层由服务商管理。

云环境中，防止跨租户数据泄露的关键技术是？

A.数据脱敏

B.多租户隔离

C.流量清洗

D.日志审计

答案：B

解析：多租户隔离通过虚拟化技术（如VPC、安全组、资源隔离策略）确保不同租户的数据和资源互不访问，是防止跨租户泄露的核心；数据脱敏是保护数据本身，流量清洗用于DDoS防护，日志审计用于事后追溯。

以下哪项属于云安全联盟（CSA）的关键控制？

A.物理机温度监控

B.数据加密

C.员工背景调查

D.服务器硬件维护

答案：B

解析：CSA《云控制矩阵（CCM）》涵盖数据安全、访问控制、事件管理等14个领域，数据加密是核心控制措施；物理监控、员工调查、硬件维护属于云服务商的基础运维，非CSA核心控制。

云环境下，DDoS攻击的主要防护手段是？

A.本地防火墙

B.云服务商的流量清洗服务

C.增加服务器带宽

D.关闭公网IP

答案：B

解析：云服务商通常提供分布式流量清洗（如AWSShield、阿里云DDoS防护），通过全局流量调度和恶意流量过滤实现防护；本地防火墙仅能应对小规模攻击，增加带宽或关闭IP不符合业务需求。

静态数据加密通常采用哪种技术？

A.TLS1.3

B.AES-256

C.RSA

D.哈希算法（如SHA-256）

答案：B

解析：静态数据（存储状态）加密常用对称加密算法（如AES-256），因其高效适合大容量数据；TLS用于传输加密，RSA用于密钥交换，哈希用于完整性校验。

云访问安全代理（CASB）的主要功能是？

A.加速云服务访问

B.监控和控制云服务访问

C.管理云服务器集群

D.优化云存储性能

答案：B

解析：CASB部署在用户与云服务之间，实现访问控制、数据泄露防护（DLP）、合规监控等，是云环境的“网关型”安全工具；加速访问由CDN实现，集群管理由云平台自身完成。

以下哪个是云原生安全的核心组件？

A.传统防火墙

B.KubernetesRBAC

C.物理机杀毒软件

D.异地容灾系统

答案：B

解析：云原生（基于容器、K8s）的安全核心是细粒度的资源访问控制，KubernetesRBAC（角色基础访问控制）用于管理集群内Pod、服务等资源的访问权限；传统防火墙无法适配动态容器环境。

合规性要求中，适用于金融行业的国际标准是？

A.GDPR（通用数据保护条例）

B.等保2.0（网络安全等级保护）

C.PCIDSS（支付卡行业数据安全标准）

D.ISO27017（云安全指南）

答案：C

解析：PCIDSS专门针对支付卡数据保护，要求金融机构和商户确保交易数据安全；GDPR适用于欧盟个人数据，等保2.0是中国通用标准，ISO27017是云安全最佳实践。

云环境中，虚拟机逃逸攻击的主要目标是？

A.窃取虚拟机内数据

B.突破虚拟化层访问宿主机

C.破坏虚拟机网络连接

D.耗尽虚拟机计算资源

答案：B

解析：虚拟机逃逸（VMEscape）是攻击者利用虚拟化软件漏洞，从客户机（GuestVM）突破到宿主机（Host），进而控制整个物理服务器；窃取数据是常规攻击目标，非逃逸核心。

云安全运维中，最小权限原则的核心是？

A.禁用所有特权账号

B.仅授予完成任务所需的最低权限

C.定期更换所有账号密码

D.限制用户登录时间段

答案：B

解析：最小权限原则要求用户/服务仅拥有执行任务必需的最小权限，避免过度授权导致的安全风险；禁用特权账号不现实，定期改密码和限制登录是补充措施。

二、多项选择题（共10题，每题2分，共20分）

云数据安全的关键措施包括？

A.数据加密（传输/存储）

B.访问控制（IAM策略）

C.数据脱敏（如手机号打码）

D.审计日志（记录数据操作）

答案：ABCD

解析：数据安全需覆盖“保护-控制-追溯”全流程：加密保护数据本身，IAM控制访问权限，脱敏处理敏感数据，审计日志用于事后核查，均为关键措施。

云环境中的常见威胁包括？

A.DDoS攻击（分布式拒绝服务）

B.数据泄露（因桶策略配置错误）

C.API滥用（未授权调用接口）

D.虚拟机逃逸（突破虚拟化层）

答案：ABCD

解析：云环境威胁包括网络层（DDoS）、数据层（泄露）、接口