2025年零信任安全架构师考试题库（附答案和详细解析）（1030）.docxVIP

零信任安全架构师考试试卷

一、单项选择题（共10题，每题1分，共10分）

零信任安全架构的核心原则是？

A.信任所有内部网络用户

B.持续验证访问请求的合法性

C.依赖传统边界防火墙防御

D.为所有用户分配最高权限

答案：B

解析：零信任的核心是“永不信任，持续验证”（NeverTrust,AlwaysVerify）。选项A错误，零信任不预设任何实体（用户、设备、应用）的可信性；选项C错误，零信任否定传统边界防御理念；选项D错误，零信任强调“最小权限原则”，而非最高权限。

零信任架构中“微隔离”技术的主要作用是？

A.扩大网络边界范围

B.限制横向攻击的扩散

C.替代身份认证系统

D.提升网络传输速度

答案：B

解析：微隔离通过细粒度的访问控制策略，将网络划分为更小的安全域，限制恶意流量在域间的横向移动，是零信任防御横向攻击的关键技术。选项A错误，微隔离缩小而非扩大边界；选项C错误，微隔离与身份认证是互补关系；选项D错误，微隔离可能增加少量延迟，与提升速度无关。

以下哪项不属于零信任架构的关键组件？

A.统一身份管理（IAM）系统

B.端点安全状态检测引擎

C.传统三层架构的核心交换机

D.动态访问控制策略引擎

答案：C

解析：零信任架构依赖软件定义的安全能力（如IAM、端点检测、动态策略），而非传统硬件设备。选项C的核心交换机属于传统网络架构组件，不直接参与零信任的动态验证流程。

零信任架构中“持续验证”的核心对象是？

A.仅用户身份

B.用户、设备、环境的全维度

C.仅网络流量

D.仅应用系统本身

答案：B

解析：持续验证需综合评估用户身份（Who）、设备状态（What）、网络环境（Where）、访问时间（When）等多维度风险，而非单一维度。选项A、C、D均片面。

零信任架构与传统“城堡-护城河”模型的本质区别是？

A.增加更多防火墙设备

B.从“基于边界”转向“基于身份和上下文”

C.降低对身份认证的依赖

D.减少安全策略的数量

答案：B

解析：传统模型依赖物理/逻辑边界（如防火墙），零信任模型以身份为中心，结合上下文动态授权。选项A是传统模型的优化，非本质区别；选项C、D与零信任理念相悖。

以下哪项是零信任“最小权限原则”的典型实践？

A.为所有管理员分配相同权限

B.用户仅获得完成任务所需的最小权限

C.允许员工访问所有内部系统

D.仅在工作日开放外部访问

答案：B

解析：最小权限原则要求主体（用户/设备）仅获得完成当前任务所需的最小权限集合。选项A违反权限最小化；选项C是过度授权；选项D属于时间上下文控制，非最小权限核心。

零信任架构中“全流量检测”的主要目的是？

A.提升网络带宽利用率

B.确保所有流量经过身份验证和授权

C.替代入侵检测系统（IDS）

D.减少日志存储量

答案：B

解析：全流量检测要求对所有网络流量（包括内部流量）进行实时分析，验证其是否符合动态策略，防止未授权访问。选项A、D与安全目标无关；选项C错误，全流量检测与IDS是互补关系。

以下哪项不属于零信任端点安全的关键指标？

A.设备是否安装最新补丁

B.设备是否属于企业注册资产

C.设备用户的办公地点

D.设备是否启用全盘加密

答案：C

解析：端点安全状态通常包括设备合规性（补丁、加密）、注册状态（是否被管理）、安全软件运行情况等。办公地点属于访问上下文（位置），而非端点本身的安全状态。

零信任架构中“动态策略”的触发条件不包括？

A.用户登录位置变更

B.设备检测到恶意软件

C.系统管理员手动调整

D.网络带宽利用率降低

答案：D

解析：动态策略基于风险上下文（如位置、设备状态、时间）或安全事件（如恶意软件）自动调整。网络带宽利用率是性能指标，与安全风险无直接关联，通常不触发策略变更。

零信任架构在云原生环境中的核心适配需求是？

A.保留传统物理服务器的边界

B.支持容器、微服务的动态身份标识

C.减少云服务提供商（CSP）的参与

D.仅保护公有云资源

答案：B

解析：云原生环境（如K8s容器、微服务）具有动态性和分布式特点，零信任需为每个容器/服务分配唯一身份并动态验证。选项A、C、D均不符合云原生“去边界化”的特性。

二、多项选择题（共10题，每题2分，共20分）

零信任架构的核心设计原则包括？（）

A.最小权限访问

B.持续风险评估

C.信任所有内部设备

D.全流量可见与控制

答案：ABD

解析：零信任的核心原则包括“最小权限”“持续验证（风险评估）”“全流量检测”。选项C错误，零信任不预设任何实体的可信性。

零信任架构中身份管理（IAM）的关键功能包括？（）

A.多因素认证（MFA）

B.统一身份数据源（如LDAP/AD）

C.