2025年零信任安全架构师考试题库（附答案和详细解析）（1217）.docxVIP

零信任安全架构师考试试卷

一、单项选择题（共10题，每题1分，共10分）

零信任安全架构的核心假设是（）

A.信任内部网络中的所有设备

B.默认不信任任何内外部实体

C.依赖传统防火墙实现边界防护

D.仅验证用户身份无需持续监控

答案：B

解析：零信任的核心原则是“永不信任，持续验证”，默认假设网络中不存在可信边界，所有实体（用户、设备、应用）均需通过动态验证才能获得访问权限。A选项是传统边界安全的假设；C选项中传统防火墙依赖静态边界，与零信任“无边界”理念冲突；D选项忽略了“持续验证”的关键要求。

零信任架构中“最小权限原则”的核心是（）

A.根据用户职位高低分配权限

B.仅授予完成任务所需的最小权限

C.所有用户初始权限为“全部拒绝”

D.定期批量更新所有用户权限

答案：B

解析：最小权限原则要求权限分配以“完成当前任务”为基准，避免过度授权。A选项基于职位而非任务需求，可能导致权限冗余；C选项是“默认拒绝”原则的表述；D选项是权限管理的操作方式，非核心定义。

以下哪项不属于零信任架构的关键技术？（）

A.软件定义边界（SDP）

B.用户行为分析（UEBA）

C.静态访问控制列表（ACL）

D.微隔离（Micro-Segmentation）

答案：C

解析：静态ACL依赖固定的IP或端口规则，属于传统边界防护技术；SDP通过隐藏资源、动态认证实现访问控制，UEBA用于持续监控异常行为，微隔离实现细粒度网络分段，均为零信任核心技术。

零信任架构中“持续验证”的触发条件不包括（）

A.用户地理位置变化

B.设备补丁更新状态

C.访问时间为工作时段

D.应用请求的资源类型改变

答案：C

解析：持续验证需根据上下文动态触发，包括用户位置、设备安全状态（如补丁）、请求资源类型等变化；工作时段属于常规策略范围，不必然触发验证（除非策略特别定义）。

零信任身份治理的核心目标是（）

A.增加用户认证的复杂度

B.实现全生命周期的身份管理

C.强制使用多因素认证（MFA）

D.限制用户访问内部系统

答案：B

解析：身份治理覆盖身份创建、授权、审计、注销的全流程，确保身份与权限的动态匹配；A选项过度强调复杂度可能影响可用性；C是认证手段，非治理目标；D是权限控制的结果，非核心目标。

在零信任模型中，“访问决策”的依据不包括（）

A.用户历史行为模式

B.设备的操作系统版本

C.网络带宽使用情况

D.应用的安全合规等级

答案：C

解析：访问决策基于“身份-设备-环境-行为”四维上下文，包括用户行为（A）、设备状态（B）、应用合规性（D）；网络带宽属于网络性能指标，不直接影响安全访问决策。

以下哪项是零信任架构与传统边界安全的本质区别？（）

A.增加了防火墙的数量

B.从“信任-验证”转向“验证-信任”

C.加强了网络边界的物理隔离

D.减少了用户认证的步骤

答案：B

解析：传统安全默认内部可信（信任-验证），零信任默认不可信（验证-信任）；A、C属于传统边界防护的强化，D与零信任“持续验证”矛盾。

零信任架构中“微隔离”的主要作用是（）

A.提高网络传输速率

B.限制横向攻击的扩散

C.替代传统VPN的功能

D.简化访问策略的管理

答案：B

解析：微隔离通过细粒度网络分段，将攻击限制在局部，防止横向移动；A是网络优化目标，C是SDP的部分功能，D是策略引擎的作用。

以下哪种场景最适合应用零信任架构？（）

A.物理隔离的封闭内网

B.员工固定办公的传统办公室

C.多租户混合云环境

D.仅支持有线接入的企业网络

答案：C

解析：混合云环境存在多租户、动态资源、跨边界访问等特点，零信任的“无边界”和“持续验证”能有效应对；A、B、D场景依赖传统边界即可满足安全需求。

零信任架构实施的首要步骤是（）

A.部署SDP网关

B.梳理资产与业务流程

C.配置多因素认证

D.建立威胁情报平台

答案：B

解析：零信任实施需先明确“保护对象”（资产）和“访问路径”（业务流程），否则后续策略和技术部署无依据；A、C、D属于具体技术落地步骤。

二、多项选择题（共10题，每题2分，共20分）（每题至少2个正确选项）

零信任架构的核心原则包括（）

A.默认不信任

B.最小权限

C.持续验证

D.静态边界

答案：ABC

解析：零信任核心原则为“默认不信任、最小权限、持续验证”；D选项“静态边界”是传统安全特征。

以下属于零信任关键技术的有（）

A.身份与访问管理（IAM）

B.软件定义边界（SDP）

C.网络地址转换（NAT）

D.用户与实体行为分析（UEBA）

答案：ABD

解析：IAM实现身份全生命周期管理，SDP隐藏资源并动态认证，UEBA监控异常行