انتقل إلى المحتوى الرئيسي

اختبار التحقق - الوحدة 6

يتيح لك هذا الاختبار المكون من 30 سؤالًا التحقق من معرفتك بأمان شبكة AWS قبل الانتقال إلى المختبر العملي.

السؤال 1​

ما هو الفرق الرئيسي بين Security Group و NACL؟

A) لا يوجد فرق
B) Security Group هو stateful على مستوى المثيل، NACL هو stateless على مستوى الشبكة الفرعية
C) NACL أكثر أمانًا
D) Security Group مجاني، NACL مدفوع

عرض الإجابة

الإجابة: B

Security Groups هي stateful (يتم السماح تلقائيًا بالاستجابات لحركة المرور المسموح بها) وتطبق على مستوى المثيل. NACLs هي stateless (تحتاج إلى قواعد صريحة لحركة المرور الواردة والصادرة) وتطبق على مستوى الشبكة الفرعية.

السؤال 2​

ماذا يعني "stateful" بالنسبة لـ Security Group؟

A) يحتفظ بحالة القواعد
B) إذا تم السماح بحركة المرور الواردة، يتم تلقائيًا السماح بحركة المرور الصادرة للاستجابة
C) القواعد دائمة
D) لا يمكن تعديله

عرض الإجابة

الإجابة: B

Stateful يعني أن Security Group يتتبع حالة الاتصالات. إذا سمحت بطلب HTTP وارد (المنفذ 80)، يتم تلقائيًا السماح بالاستجابة HTTP الصادرة دون الحاجة إلى قاعدة صادرة صريحة.

السؤال 3​

ماذا يعني "stateless" بالنسبة لـ NACL؟

A) ليس لديها حالة
B) تحتاج إلى قواعد صريحة لحركة المرور الواردة والصادرة
C) هي أسرع
D) لا تدعم TCP

عرض الإجابة

الإجابة: B

Stateless يعني أن NACL لا تتبع الاتصالات. للسماح باتصال HTTP، تحتاج إلى قاعدة واردة للمنفذ 80 وقاعدة صادرة للمنافذ المؤقتة (1024-65535) للاستجابة. يتم تقييم كل اتجاه بشكل مستقل.

السؤال 4​

ما هو السلوك الافتراضي لـ Security Group لحركة المرور الواردة؟

A) كل شيء مسموح
B) كل شيء مرفوض
C) فقط SSH مسموح
D) فقط HTTP مسموح

عرض الإجابة

الإجابة: B

افتراضيًا، يرفض Security Group كل حركة المرور الواردة (inbound). يجب إضافة قواعد صريحة للسماح بحركة المرور المطلوبة. ومع ذلك، يتم السماح بحركة المرور الصادرة (outbound) افتراضيًا.

السؤال 5​

ما هو السلوك الافتراضي لـ NACL مخصص لحركة المرور الواردة؟

A) كل شيء مسموح
B) كل شيء مرفوض
C) يعتمد على تكوين VPC
D) نفس القواعد مثل Security Group

عرض الإجابة

الإجابة: B

NACL مخصص (custom) يرفض كل حركة المرور افتراضيًا (الواردة والصادرة) حتى يتم إضافة قواعد. NACL الافتراضي لـ VPC يسمح بكل حركة المرور. من المهم التمييز بين الاثنين.

السؤال 6​

ما هو السلوك الافتراضي لـ NACL الافتراضي لـ VPC؟

A) كل شيء مرفوض
B) كل شيء مسموح (الوارد والصادر)
C) فقط حركة المرور الداخلية مسموحة
D) فقط SSH مسموح

عرض الإجابة

الإجابة: B

NACL الافتراضي الذي يتم إنشاؤه مع VPC يسمح بكل حركة المرور الواردة والصادرة. هذا يختلف عن NACL مخصص تقوم بإنشائه، والذي يرفض كل شيء افتراضيًا. احذر من الخلط بين الاثنين.

السؤال 7​

كيف يتم تقييم قواعد NACL؟

A) يتم تقييم جميع القواعد
B) حسب ترتيب رقم القاعدة، يتم تطبيق أول قاعدة تتطابق
C) القاعدة الأكثر تحديدًا تفوز
D) عشوائيًا

عرض الإجابة

الإجابة: B

يتم تقييم قواعد NACL بترتيب رقمي تصاعدي (من الأدنى إلى الأعلى). بمجرد أن تتطابق قاعدة مع حركة المرور، يتم تطبيقها ويتم تجاهل القواعد التالية. لذلك فإن ترتيب الأرقام مهم.

السؤال 8​

كيف يتم تقييم قواعد Security Group؟

A) حسب ترتيب الأولوية
B) يتم تقييم جميع القواعد وإذا سمحت واحدة بحركة المرور، يتم السماح بها
C) يتم تطبيق أول قاعدة تتطابق
D) حسب الترتيب الأبجدي

عرض الإجابة

الإجابة: B

على عكس NACLs، يتم تقييم جميع قواعد Security Group. إذا سمحت قاعدة واحدة على الأقل بحركة المرور، يتم السماح بها. لا يوجد مفهوم للأولوية أو الترتيب. Security Groups هي "allow only" (لا توجد قواعد رفض).

السؤال 9​

هل يمكن إنشاء قواعد DENY في Security Group؟

A) نعم
B) لا، Security Groups تدعم فقط قواعد ALLOW
C) فقط لحركة المرور الصادرة
D) فقط لبعض المنافذ

عرض الإجابة

الإجابة: B

Security Groups تدعم فقط قواعد ALLOW. كل ما لم يتم السماح به صراحة يتم رفضه افتراضيًا. لإنشاء قواعد DENY صريحة، يجب استخدام NACLs التي تدعم قواعد ALLOW و DENY.

السؤال 10​

هل يمكن إنشاء قواعد DENY في NACL؟

A) لا
B) نعم، NACLs تدعم ALLOW و DENY
C) فقط لحركة المرور الواردة
D) فقط لـ UDP

عرض الإجابة

الإجابة: B

NACLs تدعم قواعد ALLOW و DENY، مما يسمح بحظر أنواع معينة من حركة المرور أو عناوين IP معينة بشكل صريح. هذا مفيد لحظر IPs الخبيثة المعروفة على مستوى الشبكة الفرعية.

السؤال 11​

على أي مستوى يتم تطبيق Security Group؟

A) على مستوى VPC
B) على مستوى الشبكة الفرعية
C) على مستوى المثيل (ENI)
D) على مستوى المنطقة

عرض الإجابة

الإجابة: C

يتم تطبيق Security Group على مستوى واجهة الشبكة المرنة (ENI)، وبالتالي على مستوى المثيل. يمكن لكل مثيل أن يكون لديه عدة Security Groups، ويمكن أن يكون Security Group مرتبطًا بعدة مثيلات.

السؤال 12​

على أي مستوى يتم تطبيق NACL؟

A) على مستوى المثيل
B) على مستوى الشبكة الفرعية
C) على مستوى VPC
D) على مستوى AZ

عرض الإجابة

الإجابة: B

يتم تطبيق NACL على مستوى الشبكة الفرعية. يتم تقييم كل حركة المرور الواردة أو الصادرة من الشبكة الفرعية بواسطة NACL. لا يمكن ربط شبكة فرعية إلا بـ NACL واحدة، ولكن يمكن ربط NACL بعدة شبكات فرعية.

السؤال 13​

ما هو رقم قاعدة NACL الذي يمثل القاعدة الافتراضية (deny all)؟

A) 0
B) 100
C) * (نجمة)
D) 999

عرض الإجابة

الإجابة: C

القاعدة برقم * (نجمة) هي القاعدة الافتراضية التي ترفض كل حركة المرور التي لا تتطابق مع أي قاعدة أخرى. لا يمكن تعديلها أو حذفها. يتم تقييمها دائمًا في النهاية.

السؤال 14​

ما هي أفضل ممارسة لترقيم قواعد NACL؟

A) استخدام 1، 2، 3، 4...
B) ترك فواصل (100، 200، 300...) لتتمكن من إدراج قواعد
C) استخدام أرقام عشوائية
D) دائمًا البدء بـ 1000

عرض الإجابة

الإجابة: B

يوصى بترك فواصل بين أرقام القواعد (مثل 100، 200، 300) لتتمكن من إدراج قواعد جديدة بين القواعد الحالية دون الحاجة إلى إعادة ترقيم كل شيء.

السؤال 15​

ما هي المنافذ المؤقتة ولماذا هي مهمة لـ NACLs؟

A) منافذ محجوزة لـ AWS
B) منافذ مؤقتة (1024-65535) تستخدم للاستجابات، ضرورية في قواعد NACL الصادرة
C) منافذ للتشفير
D) منافذ للمراقبة

عرض الإجابة

الإجابة: B

المنافذ المؤقتة هي منافذ مؤقتة يتم تخصيصها ديناميكيًا بواسطة النظام لاستقبال الاستجابات. بالنسبة لـ NACLs (stateless)، يجب السماح بالمنافذ المؤقتة (1024-65535) في الخروج حتى تتمكن الاستجابات للطلبات الواردة من المرور.

السؤال 16​

هل يمكن الإشارة إلى Security Group في قاعدة لـ Security Group آخر؟

A) لا
B) نعم، يمكن السماح بحركة المرور القادمة من Security Group آخر
C) فقط في نفس الشبكة الفرعية
D) فقط لـ SSH

عرض الإجابة

الإجابة: B

يمكن الإشارة إلى Security Group كمصدر في قاعدة لـ Security Group آخر. على سبيل المثال، يمكن لـ Security Group الخاص بقاعدة البيانات السماح بحركة المرور على المنفذ 3306 القادمة من Security Group الخاص بخوادم التطبيقات، دون تحديد عناوين IP.

السؤال 17​

ما هي فائدة الإشارة إلى Security Group بدلاً من عنوان IP؟

A) أسرع
B) يتم تطبيق القاعدة تلقائيًا على جميع المثيلات في SG المشار إليه، حتى إذا تغيرت عناوين IP الخاصة بها
C) أرخص
D) لا توجد فائدة

عرض الإجابة

الإجابة: B

عند الإشارة إلى Security Group، يتم تطبيق القاعدة تلقائيًا على جميع المثيلات التي تحتوي على هذا SG، بغض النظر عن عناوين IP الخاصة بها. هذا أكثر ديناميكية وأكثر قابلية للصيانة، خاصة مع Auto Scaling حيث تتغير عناوين IP كثيرًا.

السؤال 18​

كم عدد Security Groups التي يمكن ربطها بمثيل افتراضيًا؟

A) 1
B) 5
C) غير محدود
D) 10

عرض الإجابة

الإجابة: B

افتراضيًا، يمكن ربط ما يصل إلى 5 Security Groups بواجهة الشبكة (وبالتالي بمثيل). يمكن زيادة هذا الحد من خلال طلب حصة. يتم تقييم جميع قواعد جميع SGs المرتبطة معًا.

السؤال 19​

أين يتم تقييم NACLs بالنسبة لـ Security Groups لحركة المرور الواردة؟

A) Security Group أولاً، ثم NACL
B) NACL أولاً، ثم Security Group
C) بالتوازي
D) فقط NACL

عرض الإجابة

الإجابة: B

لحركة المرور الواردة: يتم تقييم NACL أولاً (على مستوى الشبكة الفرعية)، ثم Security Group (على مستوى المثيل). لحركة المرور الصادرة: Security Group أولاً، ثم NACL. يجب أن يتم السماح بحركة المرور من كلاهما.

السؤال 20​

لا يمكن لمثيل استقبال حركة مرور HTTP. Security Group يسمح بالمنفذ 80 وNACL يرفض المنفذ 80. ماذا يحدث؟

A) يتم السماح بحركة المرور بفضل Security Group
B) يتم رفض حركة المرور لأن NACL يحظرها قبل الوصول إلى المثيل
C) يتم السماح بحركة المرور جزئيًا
D) يعتمد على الأولوية

عرض الإجابة

الإجابة: B

يتم رفض حركة المرور. يتم تقييم NACL أولاً، قبل Security Group. إذا رفضت NACL حركة المرور، فلن تصل أبدًا إلى المثيل ولا يتم حتى تقييم Security Group. يجب السماح بحركة المرور من كلاهما للمرور.

السؤال 21​

ما هي الأداة التشخيصية التي تسمح باختبار الاتصال على منفذ محدد؟

A) ping
B) telnet أو nc (netcat)
C) traceroute فقط
D) nslookup

عرض الإجابة

الإجابة: B

telnet IP PORT أو nc -vz IP PORT يسمحان باختبار ما إذا كان منفذ محدد متاحًا. ping يختبر فقط ICMP (ويمكن أن يكون محظورًا). تساعد هذه الأدوات في التمييز بين مشاكل Security Group/NACL والمشاكل التطبيقية.

السؤال 22​

هل يتم السماح بحركة المرور ICMP (ping) افتراضيًا في Security Groups؟

A) نعم
B) لا، يجب إضافة قاعدة صريحة
C) فقط لحركة المرور الداخلية
D) فقط من VPC

عرض الإجابة

الإجابة: B

افتراضيًا، لا يتم السماح بحركة المرور ICMP (ping) في Security Groups. يجب إضافة قاعدة واردة محددة لـ ICMP (النوع: All ICMP - IPv4 أو Echo Request) إذا كنت تريد أن تتمكن من ping المثيلات.

السؤال 23​

كيف يمكن لمثيل في شبكة فرعية خاصة الوصول إلى الإنترنت للتحديثات؟

A) إضافة مسار إلى IGW
B) استخدام NAT Gateway وإضافة مسار 0.0.0.0/0 إلى NAT
C) فتح المنفذ 80 في Security Group
D) غير ممكن

عرض الإجابة

الإجابة: B

لكي يتمكن مثيل خاص من الوصول إلى الإنترنت، يجب أن يكون هناك NAT Gateway في شبكة فرعية عامة ومسار في جدول التوجيه للشبكة الفرعية الخاصة: 0.0.0.0/0 -> nat-xxx. يجب أيضًا أن يسمح Security Group بحركة المرور الصادرة (افتراضيًا، هذا هو الحال).

السؤال 24​

ما هي أفضل ممارسة لتأمين الوصول SSH إلى مثيلات الإنتاج؟

A) فتح المنفذ 22 إلى 0.0.0.0/0
B) تقييد المنفذ 22 إلى IPs محددة أو استخدام bastion host
C) تعطيل SSH تمامًا
D) استخدام المنفذ 2222 بدلاً من 22

عرض الإجابة

الإجابة: B

لا تفتح أبدًا SSH (المنفذ 22) إلى 0.0.0.0/0 في الإنتاج. قيد الوصول إلى نطاقات IP محددة (مكتبك، VPN) أو استخدم bastion host في شبكة فرعية عامة. AWS Systems Manager Session Manager هو بديل بدون منفذ SSH مفتوح.

السؤال 25​

ما هو bastion host (jump box)؟

A) خادم قاعدة بيانات
B) خادم في شبكة فرعية عامة يعمل كنقطة دخول SSH آمنة
C) نوع من load balancer
D) خدمة AWS مُدارة

عرض الإجابة

الإجابة: B

bastion host هو مثيل EC2 معزز في شبكة فرعية عامة يعمل كنقطة دخول وحيدة للاتصالات SSH. يتصل المسؤولون أولاً بالبستيون، ثم من هناك إلى المثيلات الخاصة. هذا يقلل من سطح الهجوم.

السؤال 26​

ما هي الأداة AWS التي تسمح بتحليل سجلات حركة المرور لشبكة VPC؟

A) CloudWatch Logs
B) VPC Flow Logs
C) AWS Config
D) GuardDuty فقط

عرض الإجابة

الإجابة: B

VPC Flow Logs تلتقط معلومات حول حركة المرور IP إلى ومن واجهات الشبكة لـ VPC. يمكن إرسال السجلات إلى CloudWatch Logs أو S3. إنها أساسية لاستكشاف الأخطاء وإصلاحها وتحليل الأمان.

السؤال 27​

ماذا يعني ACCEPT في سجل VPC Flow Logs؟

A) تم قبول الحزمة بواسطة AWS
B) تم قبول الحزمة بواسطة Security Group و/أو NACL
C) استجابت التطبيق
D) كانت الحزمة مشفرة

عرض الإجابة

الإجابة: B

ACCEPT في Flow Logs يعني أن حركة المرور تم السماح بها بواسطة Security Groups و NACLs. REJECT يعني أنه تم رفضها. انتبه: ACCEPT لا يضمن أن التطبيق قد استجاب، فقط أن القواعد الشبكية قد سمحت بها.

السؤال 28​

ترى الكثير من REJECT في Flow Logs لمنفذ محدد. ماذا يشير ذلك؟

A) التطبيق به أخطاء
B) يتم حظر حركة المرور بواسطة Security Groups أو NACLs
C) خادم DNS لا يستجيب
D) تم تكوين VPC بشكل خاطئ

عرض الإجابة

الإجابة: B

تشير REJECT المتكررة إلى أن حركة المرور يتم حظرها بواسطة القواعد الأمنية. قد تكون حركة مرور شرعية تم تكوينها بشكل خاطئ (تحقق من القواعد) أو محاولات وصول غير مصرح بها (طبيعي ومتوقع لحركة المرور الخبيثة).

السؤال 29​

ما هي قاعدة NACL التي يجب إضافتها للسماح بالاستجابات HTTP (المنفذ 80)؟

A) Inbound: Allow TCP 80
B) Outbound: Allow TCP 1024-65535 (المنافذ المؤقتة)
C) Outbound: Allow TCP 80
D) لا شيء، يتم تلقائيًا

عرض الإجابة

الإجابة: B

بالنسبة لـ NACL (stateless)، تحتاج إلى قاعدة واردة للمنفذ 80 وقاعدة صادرة للمنافذ المؤقتة (1024-65535) لأن الاستجابات تستخدم منافذ مؤقتة مخصصة ديناميكيًا. هذا خطأ شائع عند تكوين NACLs.

السؤال 30​

بأي ترتيب يجب عليك التحقق من مشاكل الاتصال الشبكي؟

A) التطبيق، ثم Security Group، ثم NACL
B) NACL، ثم Security Group، ثم التطبيق، ثم جدول التوجيه
C) جدول التوجيه، ثم NACL، ثم Security Group، ثم التطبيق
D) كل شيء في نفس الوقت

عرض الإجابة

الإجابة: C

يتبع ترتيب التحقق المنطقي مسار حركة المرور: 1) جدول التوجيه (هل يمكن لحركة المرور الوصول إلى الشبكة الفرعية؟)، 2) NACL (هل تسمح الشبكة الفرعية بحركة المرور؟)، 3) Security Group (هل يسمح المثيل بحركة المرور؟)، 4) التطبيق (هل يستمع الخدمة؟).

النتيجة​

احسب إجاباتك الصحيحة:

  • 27-30: ممتاز - أنت تتقن أمان شبكة AWS
  • 22-26: جيد - بعض النقاط تحتاج إلى مراجعة
  • 17-21: متوسط - أعد قراءة الدورة قبل المختبر
  • أقل من 17: غير كافٍ - أعد الدورة من البداية

انتقل إلى مختبر استكشاف أخطاء VPC بمجرد أن تصل إلى 22 إجابة صحيحة على الأقل.