1. ACP的云安全10%看着不起眼却是最容易拉开差距的部分1.1 考题不是独立章节而是“撒”在整张卷子里ACP考试大纲里明确写着云安全占比10%但真翻开模拟题你会发现几乎没有哪个章节会大大方方标注“云安全”三个字。它更多是以场景题的形式出现描述一个运维场景问你怎么配安全组给一个业务被攻击的案例让你选该上什么产品或者给你一个权限管理需求让你判断正确的授权方式。这种考法很考验人。它意味着你不能只背安全概念你得把安全和ECS、SLB、VPC这些具体产品揉在一起理解。我见过不少人复习时图省事只看安全那章的概览结果遇到结合负载均衡或对象存储的场景题就发懵。10%的比例看起来不大但一张卷子一百多道题安全题能碰到十来道分布在卷子中后段——那时候人已经答得有点疲惫很容易凭“印象”选错。1.2 云安全是性价比最高的“救命分”ACP考试对分数的要求很明确差几分没过线的例子我见了太多。如果你目标是擦线过把安全这10%答好比死磕某些计算题划算得多。原因是云安全题目结构相对固定不搞复杂计算不烧脑推演核心就是考责任模型的理解、产品边界的区分、安全配置的常识。你只要把几个产品的职责边界理清楚拿分效率比网络部分高出一大截。我身边有个非常典型的例子备考时把大量时间砸在ECS实例规格和网络配置细节上安全部分靠考前一天突击结果在“DDoS基础防护默认额度是多少”“WAF能防哪些攻击”这类送分题上连续翻车。反过来另一个朋友花了一个完整下午把安全产品线整理成表这部分直接拿下八成以上分数。差别不在于智商而在于有没有把“安全”当成一个可以系统化准备的模块。2. 责任共担模型能帮你解决一半选择题的底层逻辑2.1 一句话理解“谁管什么”阿里云安全体系的第一课永远从责任共担模型开始。这个模型解决一个问题系统里出了安全事件责任到底算谁的。物理机房、服务器硬件、底层虚拟化、物理网络设备这些属于平台责任。普通用户碰不到也管不着平台会保证这些基础设施的可用性和安全硬件故障、物理机被入侵、底层的网络设备被攻击都是平台兜底。但从你买了一台云服务器开始往上的操作系统补丁、软件环境、应用代码、数据库账号、访问权限、安全组规则、数据加密全部属于租户责任。这句话几乎是考试里的“标准答案”反着考、正着考、换着场景考怎么变都离不开它。打个比方你就懂了平台相当于小区的物业负责楼道照明、门禁、外墙维护这些公共部分但你家里怎么装修、要不要装防盗门、出门有没有锁门那是你自己的事。物业不会进屋帮你锁门也不会替你决定窗户要不要加防盗网。2.2 考题常挖的三个“责任坑”考试特别喜欢在这些责任边界上埋坑我总结了三个高频陷阱第一个坑是操作系统漏洞修复。题目说“服务器被入侵了平台应该负责”判错。操作系统层属于租户责任因为你有管理员权限只有你能决定什么时候打补丁、打哪些补丁。平台能提供漏洞扫描和修复建议但执行动作在租户侧。第二个坑是虚拟化逃逸。题目问“底层虚拟化被攻击是谁的责任”答案是平台。虚拟化层在Hypervisor层级租户根本无法触碰这属于平台基础设施安全范畴。第三个坑是配置错误导致的数据泄露。比如你把对象存储的Bucket设置成公共读导致数据被爬走——产品是平台的但权限配置是租户自己做的责任在租户。对象存储默认是私有读写改成公共读等于自己打开了门这个锅甩不到平台头上。最稳的记忆方式只要你能在控制台上操作的默认都是租户责任你在控制台上根本看不到的底层设施才是平台责任。这条经验在大多数安全选择题里都通用。3. 高频安全产品逐个拆解考试最喜欢考的就是这三类3.1 云安全中心主机安全的大集合云安全中心是ACP安全题里出镜率最高的产品之一但很多旧模拟题里它叫“安骑士”。名字陌生没关系记住它的职责就够主机安全。它覆盖的能力包括漏洞扫描与修复、基线合规检查、木马病毒查杀、Webshell检测、异常登录检测、暴力破解拦截、恶意进程识别。考试频率最高的有三个点第一漏洞管理与基线检查。它会扫描云服务器系统层和应用层的漏洞给出修复建议和风险等级。考试常问基线检查能检查什么——记住关键词操作系统安全配置合规审计比如密码复杂度策略、账户锁定策略、内核参数这些。第二暴力破解拦截。默认可以检测针对SSH远程登录和RDP远程桌面的暴力破解行为并且自动阻断攻击来源IP。考试有时候会问“默认拦截多少小时”或者“拦截后怎么解除”不同版本的参数有细微差别以官方文档最新数据为准。第三Webshell与木马检测。当Web目录出现可疑脚本文件时会触发告警支持一键隔离。注意它是检测Webshell不是防御Web攻击。攻击防护是WAF的活这两个方向千万别搞混。考试还喜欢用反向题考你云安全中心不收集哪些日志它主要收集操作系统日志、网络连接日志、进程启动日志但数据库的原始SQL日志它不管那是数据库审计产品的职责。3.2 WAF和DDoS高防攻击到了门口谁先上WAFWeb应用防火墙部署在Web应用前面主要防护七层应用攻击。考试常考的攻击类型对应关系SQL注入把SQL命令拼进输入参数企图操纵后端数据库关键词是“SQL报错”“数据库被拖”XSS跨站脚本往页面注入恶意脚本偷用户Cookie关键词是“页面被注入脚本”“浏览器弹窗”CC攻击模拟大量正常用户请求耗尽应用资源关键词是“应用卡顿”“CPU不高但连接数爆了”恶意爬虫高频抓取页面内容关键词是“数据被批量抓取”“流量异常来自同一IP段”WAF支持通过CNAME方式接入考试里出现“应用层防护”“SQL注入”“恶意爬虫”关键词选WAF基本不会错。DDoS防护则专注网络层和传输层的大流量攻击。这里要记住产品线划分免费的基础DDoS防护默认提供一定额度的防护能力付费的高防服务通过把流量牵引到高防机房清洗再回源面向中小企业的原生防护则是直接在入口处清洗。考试最常考的区分点可以浓缩成两句话WAF管“精”管的是应用层恶意请求的特征识别DDoS高防管“量”管的是带宽和连接数被洪水流量打满。题目说“带宽被占满”“大量UDP/TCP流量涌入”选DDoS高防题目说“SQL注入持续报错”“页面被插入恶意脚本”选WAF。这里有个容易被忽略的细节WAF本身也具备CC防护能力但如果CC攻击的流量大到把带宽耗尽那就不是WAF能扛的了得靠DDoS高防。界限在于“应用层的慢速耗尽”和“网络层的流量洪峰”。3.3 KMS与数据加密这一小节搞定数据安全考题数据加密部分的主角是密钥管理服务KMS。核心概念是主密钥CMK和数据密钥DEK配合使用叫做信封加密。信封加密值得花三分钟理解因为案例题会考。你先生成一个CMK主密钥由KMS托管再用CMK去加密一个临时生成的数据密钥DEK最后用DEK加密真正的业务数据。为什么绕这么一圈因为直接用主密钥加密大数据量性能开销太大而用一次性数据密钥加密业务数据配合密钥托管既保证加密强度又解决了性能问题。对象存储服务端加密、关系型数据库数据加密、云盘加密都支持与KMS集成。考试里出现“使用KMS管理密钥加密OSS文件”这种描述你就要有这层映射关系。证书服务也属于数据安全部分的常见考点SSL证书用于HTTPS加密。常考的分类是DV域名型最快只验证域名所有权OV企业型额外验证企业身份EV增强型最高级别浏览器地址栏会显示企业名称。记住“越严越贵”三个档位这类题基本送分。4. 安全组与网络隔离实操题的主战场4.1 安全组的规则匹配逻辑安全组本质上是一台云服务器的虚拟防火墙考试重点在“规则怎么生效”。阿里云安全组的默认策略是入方向默认拒绝所有流量出方向默认放行所有流量规则里主要写允许通常不需要写拒绝。这个设计导致一个常见考题让你拒绝某个IP访问某端口时正确做法不是“加一条更狠的拒绝规则”而是“不添加相应的允许规则”或者“添加一条优先级更高、策略为拒绝的规则”。很多人习惯性想“我想让他访问不了那就写条拒绝”但安全组的核心思想是白名单——没放行就是拒绝。优先级规则要记牢数字越小优先级越高数字从1开始递增。当两条规则同时命中时如果一条允许一条拒绝显式拒绝默认优先于允许。下面是安全组常考参数对照表备考直接背参数含义考试容易踩的坑方向入方向/出方向入方向表示外部访问ECS出方向表示ECS访问外部协议类型TCP/UDP/ICMP/全部常用端口要匹配正确协议端口范围1-65535注意“80/80”和“1/65535”的区别授权对象来源IP或CIDR0.0.0.0/0表示所有IP全部放行优先级数字越小优先级越高拒绝规则通常优先级更高实操中用命令行配置安全组也很常见给你一个放行80端口的参考命令# 在安全组sg-abc12345上放行入方向TCP 80端口 aliyun ecs AuthorizeSecurityGroup \ --RegionId cn-hangzhou \ --SecurityGroupId sg-abc12345 \ --IpProtocol tcp \ --PortRange 80/80 \ --SourceCidrIp 0.0.0.0/0 \ --NicType internet这个命令记不记都行但你得看懂它在干什么考试偶尔会在输出方向、端口范围这些参数上做文章。4.2 VPC隔离、企业安全组与云防火墙VPC的作用是把云上资源放进一个逻辑隔离的网络空间。考试常见题两个云服务器要隔离不能互相访问选什么方案答案是利用不同交换机或者配置安全组规则而不是修改路由表。企业安全组是比普通安全组更严格的一种适合承载核心业务支持更多控制项比如限制只能通过内网访问、支持更细粒度的会话级管控。考试里出现“核心数据库不能对公网开放”“关键业务需要更严格隔离”这类需求大概率是在暗示企业安全组。云防火墙则是多账号、多VPC场景的集中式安全管控产品可以统一管理东西向流量VPC到VPC、云服务器到云服务器和南北向流量互联网到VPC。考试里出现“集团多个账号需要统一安全策略”“VPC间流量需要审计和控制”这类描述选云防火墙。安全组、企业安全组、云防火墙三者的关系可以这么理解安全组管单台机器企业安全组管首核心单机的精细化策略云防火墙管整张网络拓扑的集中化策略。考试问“单实例”找安全组问“多账号全网”找云防火墙。4.3 典型场景题的配置思路场景一Web服务器对外提供网站服务。正确做法是入方向放通TCP 80和443端口来源写0.0.0.0/0SSH管理端口22只放通公司出口IP绝不放通全网。很多初学的人图省事把22端口也放通所有来源实操里这是高危行为考试里也会反向考你哪条规则有风险。场景二数据库服务器默认端口3306只允许Web服务器访问。正确做法是入方向放通TCP 3306授权对象写Web服务器的内网IP。这里有个高级考点授权对象可以直接填另一个安全组ID实现安全组级联授权。好处是Web服务器扩容时新实例只要是同安全组的自动继承访问数据库的权限。这个知识点超出很多人的认知是考卷里的拉分题。场景三日常运维要封锁某个攻击来源IP。正确做法是添加一条优先级更高的拒绝规则把攻击IP设为授权对象。这里要特别注意优先级默认规则是拒绝所有入方向但你之前可能已经放行了某些端口攻击IP恰好能通过这些放行端口进来所以必须用高优先级拒绝规则把它单独堵住。5. RAM权限与账号安全送分题和陷阱题并存5.1 RAM四个核心对象账号、用户、组、角色RAM访问控制是管理云资源权限的核心服务。核心对象有四个考试反复围绕它们出题主账号注册云平台的账号拥有全部权限主账号签发AccessKey是绝对禁忌RAM用户主账号下创建的子账号被授予特定权限策略可以创建多个RAM用户组把多个RAM用户归组统一授权简化管理RAM角色不绑定长期凭证的虚拟身份通过STS临时凭证代替长期密钥常用于跨账号授权或授信给云产品考试最经典的场景是“跨账号访问另一个账号的OSS资源”。正确做法通常是在目标账号创建角色源账号用户通过身份切换的方式获得STS临时凭证而不是把对方的AccessKey直接拿过来用。记住这个原则跨账号协作一律走角色临时凭证共享长期密钥永远是错误答案。5.2 权限策略的匹配逻辑显式Deny优先RAM权限策略核心由四个字段构成Action动作、Resource资源、Effect效果、Condition条件。Effect只有两个值Allow和Deny。判断逻辑可以浓缩成四句话有显式Deny直接拒绝无论有没有Allow都拦不住没有Deny再看有没有Allow有匹配的Allow就放行都没有最终默认拒绝多个Allow策略之间取并集但Deny始终覆盖Allow这里给一个RAM策略示例JSON格式方便直观理解{ Version: 1, Statement: [ { Effect: Allow, Action: [oss:GetObject, oss:PutObject], Resource: [acs:oss:*:*:my-bucket/*] }, { Effect: Deny, Action: oss:DeleteObject, Resource: acs:oss:*:*:my-bucket/* } ] }这段策略的意思是允许对某个Bucket内的对象执行读取和上传但明确禁止删除。即使后面再加一个“允许所有操作”的策略删除动作依然被Deny拦死。考试陷阱经常这么出给用户同时绑定了“允许读写某Bucket”的策略和“管理员全权限”策略问最终能不能删对象。答案是看有没有Deny有Deny就不能没有Deny就看并集——管理员全权限策略包含删除动作所以能删。实操上建议坚持最小权限原则给每个子账号只分配完成工作所必需的最小权限集合分配完立刻实测发现权限过大马上收回。考试也默认这个原则是最佳实践凡是有违这个原则的选项基本都是错的。5.3 AccessKey管理与MFA强制绑定AccessKey是调用API的凭证由AccessKey ID和AccessKey Secret组成。考试高频点非常集中第一主账号不要创建AccessKey。主账号的AK拥有账号下所有权限一旦泄露整个账号等于裸奔。正确做法是关闭主账号AK使用RAM用户创建AK并配合最小权限策略。题目问你“安全的AK管理方案”这个答案几乎总是对的。第二AccessKey Secret只在创建时显示一次遗忘只能删除重建。考题如果问“AK泄露了怎么办”第一步操作一定是禁用或删除这个AK而不是先修改其他配置。这个顺序在场景题里很重要。第三MFA多因素认证。开启之后登录控制台或执行高敏感操作需要额外动态验证码。考试里出现“提高登录安全性”“强制二次验证”这类描述答案基本都是MFA。它被官方一贯宣传为账号安全的最佳实践考试出题也从来不绕弯。6. 常见混淆点与考题速查表6.1 高频混淆点对照表备考冲刺期下面这张表建议直接收藏进考场前再看一遍都来得及易混淆点正确区分考试关键词安全组 vs 云防火墙安全组是单台ECS的虚拟防火墙云防火墙是全局流量管理单实例 / 多账号VPCWAF vs DDoS高防WAF防应用层恶意请求DDoS高防抗网络层大流量SQL注入 / 带宽打满云安全中心 vs 数据库审计前者管主机安全后者记录数据库SQL行为木马查杀 / SQL审计RAM用户 vs RAM角色用户是长期身份角色是临时身份跨账号授权 / STS基础DDoS vs DDoS高防基础防护免费额度有限高防付费可扛大流量默认额度 / T级防护域名型DV vs 增强型EVDV只验证域名所有权EV验证企业身份且地址栏亮企业名企业验证 / 最高级别这类混淆题想得分关键不是背产品全称而是抓住“问题发生在哪一层”。应用层问题找WAF网络流量问题找DDoS主机问题找云安全中心权限问题找RAM加密问题找KMS。这一条判断链能帮你在拿不准时快速排除一半选项。6.2 场景题三步答题法场景题是ACP安全部分的绝对主力我的解法固定三步第一步圈出受害者。题目说的被攻击对象是云服务器是Web应用是数据库还是整个VPC受害者类型决定产品归属。第二步圈出攻击特征。SQL报错、脚本注入、恶意爬虫、应用卡顿这些都是应用层特征带宽被打满、UDP Flood、大流量涌入这些都是网络层特征。特征决定选WAF还是选DDoS防护。第三步圈出操作主体。题目问“你该怎么做”还是“平台会自动怎么做”前者从租户侧配置入手后者从平台机制入手。把这三个动作走一遍大部分场景题都能落到正确选项上。6.3 最容易错的判断题清单有些信息安全判断题看起来像送分题实际错得人最多“平台会自动帮你修补云服务器系统漏洞”——错系统漏洞修复需要租户主动执行“安全组添加允许规则后原有的拒绝规则自动失效”——错显式拒绝优先级高于允许“对象存储Bucket默认是私有读写权限”——对这是默认状态“主账号和子账号拥有相同权限”——错主账号是全权限子账号受策略限制“放通了SLB后端云服务器的80端口安全组就不用管了”——错负载均衡转发到后端时仍有安全组规则需要匹配7. 备考节奏用最少的精力把10%稳稳装进口袋7.1 安全部分的复习时间怎么分配安全部分不需要像ECS那样啃得很深但也不建议只靠考前一晚上突击。我的建议是在备考中期用一个完整下午集中突破然后每天用碎片时间刷二十道左右安全相关题目保持手感。具体安排可以参考第一个小时过责任共担模型和数据安全第二到第三个小时过安全产品线重点是云安全中心、WAF、DDoS防护、RAM、KMS第四个小时专门刷安全组相关模拟题最后一个小时把错题整理成自己的速查表。五个小时下来这10%的题目基本就能hold住。需要提醒的是现阶段官方模拟题的云安全题目数量并不算特别多所以尽量多找几套不同批次的题库交叉刷重点观察同一个考点在不同题目里被怎么包装。刷完会发现出题人翻来覆去考的就二十来个知识点不存在超纲的意外。7.2 实操在备考中的分量备考阶段没必要真的买大量云资源做实验但下面三次低成本实操非常值得做在云服务器控制台查看安全组规则动手修改一条入方向规则并观察生效效果在RAM控制台创建子账号绑定一个最小权限策略并测试访问效果在密钥管理控制台走一遍创建主密钥的流程。这三次实操能把你最抽象的三个考点——安全组规则匹配、权限策略作用、密钥托管逻辑——全部变成具体的操作记忆性价比极高。刷题时我建议顺手把每道题错误选项为什么错也标注出来。安全类模拟题的干扰项设计非常套路无非是把产品职责进行调换比如把WAF的功能说成防DDoS流量或者把权限顺序颠倒比如把Allow说成优先于Deny。这些干扰项刷几轮之后你就会形成条件反射看到就能秒排除。7.3 一个很实用的应试经验我在整理这类认证的过程中发现一个规律云安全题目的答案绝大多数倾向“安全优先”的选项。凡是描述里体现最小权限、收紧安全组只放行必要端口、强制开启多因素认证、启用审计日志、使用临时凭证代替长期密钥这些基本都可以直接视为正确方向。反过来凡是“为了省事放通全网段端口”“多个账号共用一个访问密钥”“关闭日志审计功能”这类描述基本都可以直接判错。这个规律在时间紧张、拿不准具体产品细节时特别管用能帮你把命中率从碰运气提升到比较有把握。毕竟云安全这门课的底层价值观就是默认不安全一切配置都从最小权限和最大可控出发。顺着这个价值观答题你的思路就和出题人在一个频道上了。
