2025年AWS认证网络ACL在金融行业安全合规中的应用专题试卷及解析.pdf

2025年AWS认证网络ACL在金融行业安全合规中的应用专题试卷及解析1

2025年AWS认证网络ACL在金融行业安全合规中的应

用专题试卷及解析

2025年AWS认证网络ACL在金融行业安全合规中的应用专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在AWS金融行业部署中，网络ACL（NACL）的主要作用是什么？

A、提供应用层DDoS防护

B、控制子网级别的流量进出

C、加密传输中的数据

D、管理IAM用户权限

【答案】B

【解析】正确答案是B。网络ACL是AWSVPC中用于控制子网级别流量的无状

态防火墙，这与金融行业需要严格网络分段的安全要求相符。A选项错误是因为NACL

工作在网络层和传输层，不提供应用层防护；C选项属于SSL/TLS的功能；D选项是

IAM服务的范畴。知识点：NACL的基本功能。易错点：容易与安全组功能混淆。

2、某金融机构需要限制特定子网只能访问其内部数据库端口，应该配置什么？

A、安全组入站规则

B、网络ACL出站规则

C、VPC终端节点策略

D、Internet网关路由

【答案】B

【解析】正确答案是B。网络ACL出站规则可以精确控制子网级别的流量去向，符

合金融行业最小权限原则。A选项安全组是实例级别的控制；C选项用于服务访问控

制；D选项用于路由配置。知识点：NACL规则方向性。易错点：容易忽略NACL有

状态/无状态特性。

3、在金融合规审计中，NACL规则变更的追踪应该通过什么实现？

A、CloudWatch日志

B、AWSConfig

C、VPCFlowLogs

D、CloudTrail

【答案】D

【解析】正确答案是D。CloudTrail记录所有API调用，包括NACL规则变更，满

足金融行业审计要求。A选项监控指标；B选项配置历史；C选项记录流量而非配置变

更。知识点：AWS审计服务对比。易错点：容易混淆Config和CloudTrail的适用场景。

4、网络ACL的默认行为是什么？

2025年AWS认证网络ACL在金融行业安全合规中的应用专题试卷及解析2

A、允许所有流量

B、拒绝所有流量

C、仅允许HTTP/HTTPS

D、仅允许SSH

【答案】B

【解析】正确答案是B。NACL默认拒绝所有流量，这是金融行业”默认拒绝”安全

原则的体现。其他选项描述的都是需要显式配置的行为。知识点：NACL默认行为。易

错点：容易与安全组的默认允许行为混淆。

5、金融机构需要监控NACL丢弃的数据包，应该使用什么服务？

A、GuardDuty

B、VPCFlowLogs

C、NetworkFirewall

D、WAF

【答案】B

【解析】正确答案是B。VPCFlowLogs记录所有流量信息，包括被NACL拒绝的

流量，满足金融行业安全监控需求。A选项威胁检测；C选项有状态防火墙；D选项

Web应用防护。知识点：流量监控工具选择。易错点：容易忽略FlowLogs对拒绝流量

的记录能力。

6、在多AZ金融架构中，NACL规则应该如何部署？

A、仅部署主AZ

B、跨AZ共享

C、每个AZ独立部署

D、部署在边缘位置

【答案】C

【解析】正确答案是C。NACL是子网级别的，每个AZ的子网需要独立配置规则，

确保金融业务的高可用性和隔离性。其他选项不符合AWS架构原则。知识点：NACL

部署范围。易错点：容易忽略AZ级别的隔离要求。

7、网络ACL规则编号100的优先级如何？

A、最高

B、最低

C、中等

D、不确定

【答案】A

【解析】正确答案是A。NACL规则按编号从小到大评估，100是最高优先级，这

对金融行业关键业务流量控制很