docker 模拟试卷

安全加固与逃逸防护专题测试

10 题 25 分钟难度：★★★

安全加固与逃逸防护 (10题): 安全加固策略、逃逸攻击原理与防护、AppArmor/SELinux、安全审计

试卷习题（10 题）

参考答案在文末

判断题

Rootless Docker 模式下，容器仍然可以使用 --network host 网络模式。

对

错

单选题

以下哪个 Docker 运行参数最大的安全风险，可能导致容器逃逸？

--network host

--privileged

--memory 512m

--restart always

单选题

Rootless Docker 模式的核心原理是什么？

在容器内使用独立的内核

利用 USER Namespace 将 Docker Daemon 和容器以非 root 用户运行

通过虚拟机隔离容器

禁用所有特权操作

单选题

Falco 作为容器运行时安全监控工具，主要通过什么方式检测异常行为？

扫描镜像中的漏洞

监控系统调用并根据规则匹配异常行为

分析网络流量特征

检查容器的 CPU 使用率

单选题

CIS Docker Benchmark 是什么？

Docker 官方发布的性能测试工具

互联网安全中心制定的 Docker 安全基线标准

容器网络通信的测试标准

Docker 镜像格式的规范文档

单选题

mTLS（Mutual TLS）在容器网络中的作用是什么？

加速容器间的网络通信

双向验证通信双方的身份，确保服务间通信安全

限制容器的网络带宽

防止容器访问外部网络

多选题

以下哪些情况可能导致容器逃逸攻击？

挂载 Docker Socket（/var/run/docker.sock）到容器内

使用 --privileged 参数启动容器

以非 root 用户运行容器

容器内运行存在内核漏洞的驱动程序

挂载宿主机根目录（-v /:/host-root）到容器

多选题

以下哪些措施可以有效保护 Docker 镜像的供应链安全？

使用 Docker Content Trust 对镜像签名

配置准入策略阻止未签名镜像运行

只使用官方基础镜像

扫描镜像漏洞并修复

追踪镜像的来源和构建过程（SBOM）

多选题

以下哪些方法可以用于记录 Docker 容器操作的审计日志？

启用 Docker 守护进程的审计功能

使用 systemd journal 记录 dockerd 日志

部署 Falco 监控运行时事件

使用第三方审计工具如 Auditd

在容器内安装日志收集代理

填空题

在镜像供应链安全中，（Software Bill of Materials）是描述镜像包含的所有组件和依赖的清单。

参考答案

1.错误 2.B 3.B 4.B 5.B 6.B 7.A;B;D;E 8.A;B;D;E 9.A;B;C;D 10.SBOM

想在手机上在线作答这套卷子？

使用微信 卷王开发者小程序/App，首页顶部扫一扫识别二维码，即可限时作答并自动判分。

了解产品 App