2025年零信任安全架构师考试题库（附答案和详细解析）（1231）.docxVIP

零信任安全架构师考试试卷

一、单项选择题（共10题，每题1分，共10分）

零信任安全架构的核心原则是（）

A.基于IP地址划分安全区域

B.永不信任，始终验证

C.默认信任内部网络用户

D.依赖传统防火墙实现边界防护

答案：B

解析：零信任的核心是“从不默认信任，持续验证所有访问请求”（NISTSP800-207定义）。A、C、D均为传统边界安全的特征，与零信任动态验证、最小权限的理念相悖。

零信任架构中，实现“持续验证”的关键组件是（）

A.传统VPN网关

B.身份治理（IAM）平台

C.静态访问控制列表（ACL）

D.下一代防火墙（NGFW）

答案：B

解析：IAM平台通过整合身份、设备、环境等多维度数据，实现对访问请求的持续验证（如OAuth2.0、SAML协议）。A、C、D属于传统安全工具，无法满足动态验证需求。

零信任架构中的“最小权限原则”是指（）

A.为所有用户分配最低权限

B.根据上下文动态分配必要权限

C.固定角色权限不随时间变化

D.仅允许管理员访问核心资源

答案：B

解析：最小权限需结合用户身份、设备状态、访问时间等上下文动态调整（如ABAC属性基访问控制）。A、C忽略动态性，D违反“最小”原则。

零信任架构中，“持续验证”不包括以下哪个维度？（）

A.用户身份合法性

B.设备补丁更新状态

C.网络带宽占用率

D.用户操作行为模式

答案：C

解析：持续验证覆盖身份（认证）、设备（健康度）、环境（风险）、行为（合规性）四维（Gartner零信任框架）。网络带宽与安全风险无直接关联，属于性能指标。

微隔离技术在零信任架构中的主要作用是（）

A.扩大网络边界范围

B.限制横向攻击扩散

C.提升网络传输速度

D.替代传统防火墙

答案：B

解析：微隔离通过细粒度流量控制（如容器间、服务间），防止攻击者在内部网络横向移动（CSA云安全指南）。A、C与安全目标无关，D是补充而非替代。

零信任架构与传统边界安全的本质区别是（）

A.是否使用防火墙

B.信任模型的不同

C.网络拓扑结构

D.数据加密方式

答案：B

解析：传统安全默认信任内部网络（“一次信任，始终信任”），零信任默认不信任任何访问（“永不信任，始终验证”）（NIST定义）。其他选项为技术实现差异，非本质。

软件定义边界（SDP）的核心设计目标是（）

A.提高网络带宽利用率

B.隐藏资源真实暴露面

C.简化VPN配置流程

D.增强物理设备安全性

答案：B

解析：SDP通过“先验证后连接”机制，使未经验证的请求无法探测到资源存在（IETFSDP标准）。A、C、D均非其核心目标。

零信任架构通常采用的访问控制模型是（）

A.自主访问控制（DAC）

B.强制访问控制（MAC）

C.属性基访问控制（ABAC）

D.角色基访问控制（RBAC）

答案：C

解析：ABAC通过用户属性（如职位）、环境属性（如IP）、资源属性（如敏感度）动态决策，符合零信任的上下文感知需求（NIST推荐）。A、B、D灵活性不足。

零信任架构中数据保护的核心策略是（）

A.对所有数据进行高强度加密

B.最小化数据暴露范围和访问权限

C.仅保护静态数据，忽略传输数据

D.依赖数据中心物理安全

答案：B

解析：零信任强调“数据最小化”（GDPR原则），通过限制访问权限减少泄露风险。A是手段非核心，C、D违反全链路保护要求。

零信任架构的部署特点是（）

A.一次性工程，部署后无需调整

B.需与业务系统解耦独立运行

C.持续迭代优化的过程

D.仅适用于大型企业

答案：C

解析：零信任需根据业务变化、威胁演进持续调整策略（Gartner成熟度模型）。A、B、D均不符合动态性、适配性要求。

二、多项选择题（共10题，每题2分，共20分）

以下属于零信任核心设计原则的有（）

A.持续动态验证

B.静态网络边界

C.最小权限访问

D.单点身份认证

答案：AC

解析：零信任原则包括“持续验证”“最小权限”“全链路防护”（NISTSP800-207）。B是传统安全特征，D无法满足持续验证需求。

零信任架构的关键技术包括（）

A.微隔离（Microsegmentation）

B.软件定义边界（SDP）

C.统一身份管理（IAM）

D.用户行为分析（UEBA）

答案：ABCD

解析：微隔离控制横向流量，SDP隐藏资源，IAM管理身份，UEBA检测异常行为（均为零信任技术栈核心组件）。

零信任中“身份基线”通常包含以下哪些信息？（）

A.用户职位与权限等级

B.终端设备的可信启动状态

C.用户历史操作行为模式

D.网络接入的物理位置

答案：ABC

解析：身份基线需覆盖身份属性（职位