云安全测试面试题及答案.docxVIP

云安全测试面试题及答案

一、云安全测试基础认知类

1.请阐述云安全测试与传统本地环境安全测试的核心差异，至少从5个维度对比说明

两者的核心差异本质源于云环境的分布式、多租户、弹性化架构属性，具体维度差异如下：第一是责任边界维度，传统本地环境测试覆盖从物理机房、服务器固件、操作系统到应用层的全栈校验，安全团队可以全权调度所有资产的配置权限；而云安全测试首先要依据共享责任模型划定测试范围，不属于租户权责的物理层、虚拟化层等资产无权也无需开展测试，越权测试甚至可能违反云厂商的服务协议。第二是资产属性维度，传统环境的资产静态固化，资产测绘只需要覆盖固定IP、已知硬件设备即可；云环境下资源支持分钟级创建销毁，临时测试实例、弹性伸缩扩容的匿名容器、动态生成的NAT映射地址很容易被传统测绘体系遗漏，测试前必须同步拉取云平台的官方资产清单，避免出现测试盲区。第三是风险载体维度，传统环境的风险主要集中在业务系统本身；云环境下大量风险出现在云服务配置层面，比如对象存储公共读、安全组全端口放通、RAM权限溢出等非代码类漏洞占比超过60%，是云安全测试的核心校验对象。第四是隔离机制维度，传统本地环境的隔离主要依靠物理网段、防火墙实现；云环境的核心隔离是虚拟化层的多租户隔离，云安全测试需要额外验证跨租户越权、侧信道信息泄露等传统环境不存在的风险场景。第五是弹性适配维度，传统测试的用例是固定适配静态业务架构