22 道逻辑访问控制与模型练习题及答案

1. 1. 某组织的政策规定，每个账户只获得其所承担工作职责所需的权限。下列哪项最准确地表述了最小权限原则的要求？

   • A.权限按部门内最高的通用级别统一设置，以便同事之间随时顶替工作。
   • B.权限限定在所分配职责所需的范围内，并且在使用时间上同样受限。✓ 答案
   • C.入职时先广泛授予权限，日后审计发现多余权限时再进行削减。
   • D.权限依据资历分配，在公司任职越久的员工拥有越广泛的系统权限。

   最小权限原则要求主体只拥有履行其职能所必需的最少权限，不多给。这一限制既针对权限的范围，也针对权限持有的时间，因此临时提权（即用即授）优于长期授予：常驻权限越少，账户一旦被攻陷或被滥用所能造成的破坏就越小。

   编号 QB-B7R8SQ依据： ISC2 Certified in Cybersecurity Exam Outline, Identity and Access Management (IAM) Concepts (Identity and Access Management Concepts), logical access controls — principle of least privilege; NIST SP 800-53, control AC-6 Least Privilege报告此题的问题

2. 2. 某员工四年内调动过两次，从采购部到物流部再到市场部。每次调动她都获得了新部门的权限，而此前部门的权限一项都没有被回收。这种状况叫什么，它违反了哪项原则？

   • A.权限提升，它因让她能够自行抬高账户权限而违反最小权限原则。
   • B.权限蠕变，它因保留了不再需要的权限而违反最小权限原则。✓ 答案
   • C.职责分离，因为两个部门使用同一套系统而导致该原则被破坏。
   • D.孤儿账户，它因留下无人负责的登录凭据而违反最小权限原则。

   权限蠕变（也称授权蠕变）是身份生命周期中"调动"环节的失败：调岗时增加了新权限却从不回收旧权限，账户的访问范围因此逐渐远远超出当前岗位所需。它不同于权限提升——后者是攻击者或用户取得了从未被授予的权限。对应的检测性控制是定期权限复核，由主管或数据属主对每项授权重新确认。

   编号 QB-VP9RHS依据： ISC2 Certified in Cybersecurity Exam Outline, Identity and Access Management (IAM) Concepts (Identity and Access Management Concepts) — identity life cycle management (provision, review, deprovision) and principle of least privilege报告此题的问题

3. 3. 某公司部署了一个人工智能代理，用于读取工单系统并起草回复。为节省配置时间，管理员给该代理发放了对公司全部系统都拥有读写权限的凭据。这违反了哪项原则，正确的做法是什么？

   • A.知其所需原则；该代理每次读取工单都应向主管说明理由。
   • B.职责分离原则；该代理应拆分为归属不同负责人的两个代理。
   • C.最小权限原则；该代理只应拥有处理工单所需的权限。✓ 答案
   • D.岗位轮换原则；该代理的凭据应每月转移到另一套系统上。

   最小权限原则同样适用于非人类身份：人工智能代理、机器人或服务账户都是身份，只应被授予其任务所需的权限。授予全面访问权会让该代理的凭据成为一个足以导致全面失陷的单点，因为劫持该代理的任何东西都会继承它的全部权限。此类身份还应设为非交互式登录，并纳入与人类账户相同的开通、复核、注销生命周期。

   编号 QB-C74KXR依据： NIST SP 800-53, control AC-6 Least Privilege (applies to users and to processes acting on their behalf); ISC2 Certified in Cybersecurity Exam Outline, Identity and Access Management (IAM) Concepts — logical access controls报告此题的问题

4. 4. 两名分析师担任相同角色、拥有完全相同的系统权限，但其中只有一人可以打开某项具体调查的案卷。哪一个概念解释了这项额外的限制？

   • A.职责分离，它把一项敏感任务拆分给两个不同的人。
   • B.最小权限，它限制账户被授予的权限级别高低。
   • C.知其所需，它把访问限制在履行职责所需的特定信息上。✓ 答案
   • D.双人控制，它要求两个人同时对同一项任务进行操作。

   知其所需与最小权限相关但不同。最小权限管的是账户被授予的权限范围；知其所需管的是持有者当前的具体职责能否正当化对某一份信息的访问。因此两个人可以拥有完全相同的权限，却仍被知其所需区分开来，因为只有其中一人正在办理该案卷所属的那起案件。

   编号 QB-WPM3QT依据： NIST SP 800-53, control AC-6 Least Privilege and its need-to-know discussion; ISC2 Certified in Cybersecurity Exam Outline, Identity and Access Management (IAM) Concepts — logical access controls报告此题的问题

5. 5. 组织为什么要把一项敏感业务流程拆分开，使任何单独一名员工都无法从头到尾独自完成它？

   • A.这样一来，一个人既无法舞弊，也无法掩盖舞弊。✓ 答案
   • B.这样一来，参与流程的每个人所需的系统权限数量都会更少。
   • C.这样一来，当某位指定员工缺勤时流程仍然可以继续运转。
   • D.这样一来，每个步骤都会记入参与者无法修改的日志中。

   职责分离把关键流程拆开，使其必须由两人或更多人共同完成。其安全价值在于：同一个人无法既实施舞弊行为，又掌控那个本可以揭露或审批该行为的环节；流程必须经由第二个独立的人操作才能走完。减少个人权限是最小权限带来的结果，业务连续性则是附带效果，都不是该控制的目的。

   编号 QB-D7FW4T依据： NIST SP 800-53, control AC-5 Separation of Duties; ISC2 Certified in Cybersecurity Exam Outline, Identity and Access Management (IAM) Concepts — logical access controls报告此题的问题

6. 6. 在应付账款部门，同一名职员既在主档中新增供应商，又录入其发票，又审批付款，还放行银行转账。此处缺少的是哪项控制？

   • A.岗位轮换，因为该职员在同一岗位上停留的时间过长了。
   • B.最小权限，因为该职员账户拥有的权限超出了工作所需。
   • C.知其所需，因为该职员可以读取其他部门的供应商记录。
   • D.职责分离，因为整条付款链条都掌握在同一个人手里。✓ 答案

   这是职责分离被破坏的典型情形：能够创建收款方的人，同时也是审批并放行向该收款方付款的人，因此可以凭空设立一个虚假供应商并完成付款，全程无需第三方经手。缺陷在于相互冲突的职责集中在同一个人手中，而不仅仅是账户权限过多——后者是最小权限所处理的问题。

   编号 QB-XPYDVU依据： NIST SP 800-53, control AC-5 Separation of Duties; ISC2 Certified in Cybersecurity Exam Outline, Identity and Access Management (IAM) Concepts — logical access controls报告此题的问题

7. 7. 某付款流程被安排为：由一名员工创建供应商记录，由另一名员工审批付款。这样的安排仍然留下了哪种风险？

   • A.肩窥偷看，即某位员工在开放办公区审批付款。
   • B.权限蠕变，即其中一名员工日后被调动到别的团队。
   • C.孤儿账户，即两人中有一人未提前通知就离职了。
   • D.串通舞弊，即两名员工商量好一起滥用该流程。✓ 答案

   职责分离的原理是让单独一个人无法完成舞弊交易，因此它的剩余风险是串通：一旦分担这两项职责的人相互配合，该控制即被瓦解。正因如此，组织会同时采用岗位轮换、强制休假和独立复核等检测性措施，打破那种依赖同样两个人长期在位的安排。

   编号 QB-E7T8AU依据： NIST SP 800-53, control AC-5 Separation of Duties (collusion as residual risk); ISC2 Certified in Cybersecurity Exam Outline, Identity and Access Management (IAM) Concepts — logical access controls报告此题的问题

8. 8. 某现金金库只有在两名保管员同时在场并同时转动各自的钥匙时才会打开。这项控制应如何定性，它与职责分离有何区别？

   • A.岗位轮换：两名保管员互换岗位，使任何人都不长期把持一项职责。
   • B.职责分离：开启金库这件事已被拆分成两项彼此独立的任务。
   • C.双人控制：两个人共同操作同一项任务，而不是各自负责不同的任务。✓ 答案
   • D.最小权限：每名保管员只持有一把钥匙，而不是完整的万能钥匙。

   双人控制（也称双人完整性）要求两名获授权的人员同时对同一个动作共同操作，该动作才能生效。职责分离在结构上不同：它把一个流程切分成若干彼此独立的任务并交给不同的人，各人在流程的不同环节分别动作，而不是共同操作同一个步骤。

   编号 QB-QPG3PK依据： NIST SP 800-53, control enhancement AC-3(2) Dual Authorization; ISC2 Certified in Cybersecurity Exam Outline, Identity and Access Management (IAM) Concepts — logical access controls报告此题的问题

9. 9. 某银行要求每名处于敏感岗位的员工每年必须连续休假至少一周，休假期间由另一名员工接手其工作。这项规定的安全目的是什么？

   • A.这是一种纠正性控制：休假期间发现的错误由顶岗的同事负责修复处理。
   • B.这是一种预防性控制：该员工的权限在整整一周的休假期间被暂停使用。
   • C.这是检测性控制：其掩盖的异常会在休假期间暴露。✓ 答案
   • D.这是一种威慑性控制：提醒员工休假记录每年都会受到审计部门检查。

   强制休假属于检测性的人事控制。许多长期舞弊之所以能够持续，只是因为某个人始终独占且不间断地掌控着某项流程，能够每天调整账目记录；强制其离岗并由他人接手工作，就抽掉了掩盖手段，使差异暴露出来。它检测的是已经发生的违规行为，而不是阻止行为本身发生。

   编号 QB-77BW3K依据： ISC2 Certified in Cybersecurity Exam Outline, Identity and Access Management (IAM) Concepts (Identity and Access Management Concepts) — logical access controls supporting separation of duties (mandatory vacation as a detective personnel control)报告此题的问题

10. 10. 除了拓宽团队成员的技能之外，让员工在不同岗位之间轮换还能带来什么安全方面的好处？

    • A.接手职责的人有机会发现前任所掩盖的违规行为。✓ 答案
    • B.接手的人继承前任的账户，从而使权限配置保持稳定。
    • C.接手的人减少了部门整体上需要发放的权限数量。
    • D.接手的人使部门不再需要定期开展权限复核工作。

    岗位轮换之所以属于检测性控制，与强制休假同理：新接手的人以全新视角处理同样的职责，能看到账目与日常流程，而前任已无法继续随时调整它们，被掩盖的异常因此浮出水面。至于直接继承前任的账户，实际上是不良做法，它既破坏了可问责性，又把旧权限一并带了过去。

    编号 QB-QZUEM3依据： ISC2 Certified in Cybersecurity Exam Outline, Identity and Access Management (IAM) Concepts (Identity and Access Management Concepts) — logical access controls supporting separation of duties (job rotation as a detective personnel control)报告此题的问题

11. 11. 在自主访问控制之下，由谁来决定哪些主体可以访问某个特定的客体？

    • A.对象的属主，而且属主可以把访问权转授他人。✓ 答案
    • B.操作系统，它依据对象属主无法更改的标签作出判断。
    • C.安全管理员，他依据与各项工作职能相对应的角色授权。
    • D.策略引擎，它依据请求到达时所满足的各项条件判断。

    自主访问控制的定义特征就是"由属主自行裁量"：文件或资源的属主决定谁可以使用它，并且可以把该权限继续转授给其他人，通常通过客体上的访问控制列表实现。另外三种描述分别属于强制、基于角色以及基于规则或属性的模型，在这些模型中决定权并不在属主手里。

    编号 QB-8H2M74依据： NIST IR 7316, Assessment of Access Control Systems — Discretionary Access Control报告此题的问题

12. 12. 某员工在共享文件服务器上创建了一份电子表格，并在未经信息技术部门参与的情况下，自行授予两名同事打开该文件的权限。这体现的是哪种访问控制模型？

    • A.基于属性的访问控制，因为该请求是按其上下文来判断的。
    • B.强制访问控制，因为服务器会为每个新建文件贴上标签。
    • C.基于角色的访问控制，因为两位同事属于同一工作职能。
    • D.自主访问控制，因为由文件的创建者决定谁可以读取该文件。✓ 答案

    判定为自主访问控制的标志是：资源的创建者或属主亲自作出授权，没有任何中央权威对此进行评估。场景中既未涉及密级标签，也未涉及工作角色或情境条件，决定权完全取决于属主的自主裁量，而这正是该模型的定义性特征。

    编号 QB-RZ7SS4依据： NIST IR 7316, Assessment of Access Control Systems — Discretionary Access Control报告此题的问题

13. 13. 下列哪项最准确地描述了自主访问控制在大型组织中的主要安全弱点？

    • A.访问决定依赖统一的标签体系，新数据因此无法被快速共享。
    • B.访问决定分散在众多属主手中，权限因此蔓延且难以审计。✓ 答案
    • C.访问决定取决于时间和地点等条件，而这些条件不断发生变化。
    • D.访问决定完全跟随工作角色，岗位特殊的员工因此拿不到权限。

    由于每位属主各自独立作决定，自主访问控制系统缺乏对"谁能访问什么"的集中监督：权限累积得参差不齐，没有人掌握全貌，复核与回收访问权都变得困难。同一特性还意味着以属主身份运行的恶意代码可以把属主的访问权再转授给他人。其余选项描述的分别是强制、基于规则和基于角色模型的缺点。

    编号 QB-9HDXC5依据： NIST IR 7316, Assessment of Access Control Systems — limitations of Discretionary Access Control报告此题的问题

14. 14. 在强制访问控制系统中，决定某个主体能否读取某个特定客体的依据是什么？

    • A.主体的密级与客体的标签相比较，再加上对该内容的知其所需。✓ 答案
    • B.客体属主的决定，并记录在该文件的访问控制列表当中。
    • C.主体被指派的角色，与该客体所共享给的那些角色相比较。
    • D.主体的设备和位置，与该网络所适用的那套规则相比较。

    强制访问控制为每个客体赋予密级标签、为每个主体赋予安全许可级别，并由系统自身进行比较：许可级别必须不低于客体密级，且主体还必须对该范畴具备知其所需。属主和用户都不能更改标签或开出例外，这正是该模型最为刚性、在保密性方面最强的原因。

    编号 QB-SZJ4Y5依据： NIST IR 7316, Assessment of Access Control Systems — Mandatory Access Control (labels and clearances)报告此题的问题

15. 15. 在某政府系统中，每份文档都带有密级，每位用户都持有安全许可级别。由操作系统执行两者的比对，且作者和用户都不得更改这些标记。该系统使用的是哪种模型？

    • A.强制访问控制，因为执行策略的是系统而不是用户本人。✓ 答案
    • B.自主访问控制，因为文档是由作者在创建时自行标注的。
    • C.基于角色的访问控制，因为密级的作用和被指派的角色一样。
    • D.基于规则的访问控制，因为这种比较是写成一条固定规则的。

    有两个标志可判定为强制访问控制：客体的密级标签与主体的安全许可级别相匹配，以及由系统依据用户无法推翻的中央策略强制执行。安全许可级别并不是角色，因为它表达的是处理涉密材料的受信任程度，而非一组与工作职能挂钩的权限；而作者无法更改标记这一点，恰恰排除了自主访问控制模型。

    编号 QB-AHR9J6依据： NIST IR 7316, Assessment of Access Control Systems — Mandatory Access Control (system-enforced policy)报告此题的问题

16. 16. 某组织希望每位新员工在入职首日就获得一套一致、可复核的权限，且这套权限由其所聘岗位决定。哪种模型最能满足这一要求？

    • A.基于角色的访问控制，它把权限绑定在所指派的工作职能上。✓ 答案
    • B.自主访问控制，它让各部门经理自行授予新员工所需的权限。
    • C.强制访问控制，它在新员工入职首日就为其确定一个密级。
    • D.基于属性的访问控制，它在每次请求时都衡量新员工的情境。

    基于角色的访问控制把权限挂接在与工作职能相对应的角色上，用户只能通过被指派到某个角色来获得权限。这使得账号开通可重复、离职与调岗处理简单、权限复审切实可行，因为复核人只需检查数量可控的角色，而不是成千上万条单独授权。它还支持最小权限与职责分离，因为可以把相互冲突的角色声明为互斥。

    编号 QB-TZWE57依据： INCITS 359, Role-Based Access Control standard — core RBAC (permissions assigned to roles, roles assigned to users)报告此题的问题

17. 17. 在某薪酬系统中，所有被指派为"薪酬专员"岗位的人都获得相同的权限，并且权限从不直接授予个人。在这种设计中，角色与用户组的区别是什么？

    • A.角色由数据属主创建，而组由系统策略自动创建并维护。
    • B.角色是同一个部门里的一批用户，而组是一批共享文件夹。
    • C.角色只适用于管理员账户，而组适用于全部的普通用户账户。
    • D.角色是与工作职能绑定的一组权限，而组是一批用户的集合。✓ 答案

    组只是一批用户账户的命名集合，而角色是一组与某项工作职能相对应的权限的命名集合，用户随后被指派到该角色。这一区分之所以重要，是因为它使组织能够把"这个岗位被允许做什么"与"目前是谁担任该岗位"分开审视，并在一处就改变整个工作职能的权限。

    编号 QB-BH4MQ7依据： INCITS 359, Role-Based Access Control standard — role as a permission set corresponding to a job function报告此题的问题

18. 18. 某公司禁止在工作日 07:00 至 20:00 之外登录其会计系统，且该限制适用于包括高管在内的每一位用户。这属于哪种模型，它与基于角色的访问控制有何区别？

    • A.基于角色：判断依据是每位用户被指派的那项具体工作职能。
    • B.基于规则：依据请求发生时的条件，而不是用户的职务。✓ 答案
    • C.基于规则：判断依据是用户在公司内部所处的资历高低。
    • D.自主控制：判断依据是该系统属主自行选定的各项使用限制。

    基于规则的访问控制把预先定义的条件统一适用于所有人：一天中的时段、星期几、来源地址、网络区域或设备状态，均在请求发生的那一刻进行评估。基于角色的访问控制问的则是该用户在组织中的身份，因此相对静态。此题的线索在于该限制完全不看身份，连高管也一样适用，所以不可能由角色驱动。

    编号 QB-KZE4XW依据： NIST IR 7316, Assessment of Access Control Systems — rule-based access control compared with role-based access control报告此题的问题

19. 19. 某医院的策略规定：只有当该患者住在这名护士所负责的病区、请求发生在该护士的当班时段内、且所用设备由医院统一管理时，护士才可以打开患者病历。这描述的是哪种模型？

    • A.自主访问控制，它考虑的是数据属主自行作出的共享决定。
    • B.基于角色的访问控制，它只考虑这位护士被指派的那一个角色。
    • C.基于属性的访问控制，它把主体、资源和环境情境一并纳入判断。✓ 答案
    • D.强制访问控制，它考虑的是这位护士获得的那个密级高低。

    基于属性的访问控制是在多类属性之上同时评估一条策略：主体属性（护士所属病区与当班时段）、资源属性（病历属于哪位患者）、操作属性，以及环境属性（所用设备是否受管）。单靠角色无法表达这种策略，因为每位护士的角色都相同，而各人得到的结果却随请求当时的具体情形而不同。

    编号 QB-4HM9HX依据： NIST SP 800-162, Guide to Attribute Based Access Control (ABAC) Definition and Considerations报告此题的问题

20. 20. 在访问控制术语中，某个用户账户打开了一张数据库表。下列哪项正确地指出了其中的主体和客体？

    • A.数据库表是主体，用户账户是提出访问请求的那个客体。
    • B.用户账户是发起动作的主体，数据库表是被作用的那个客体。✓ 答案
    • C.用户账户是主体，授予它的那项权限才是此处涉及的客体。
    • D.操作系统是主体，用户账户和数据库表都是它的客体对象。

    主体是发起动作请求的主动实体，不一定是人：用户账户、进程，或代表用户运行的服务都算主体。客体是被作用的被动资源，例如文件、数据表、记录或设备。权限本身则是把两者联系起来的访问权利，而不是客体。

    编号 QB-EGXAED依据： NIST IR 7316, Assessment of Access Control Systems — subjects, objects and access rights报告此题的问题

21. 21. 访问控制列表与能力凭证是从相反的方向表达同一组权限。下列哪项正确描述了这一区别？

    • A.访问控制列表由主体自己持有，而能力凭证附着在客体上。
    • B.访问控制列表附着在客体上，而能力凭证由主体自己持有。✓ 答案
    • C.访问控制列表列出允许的操作，而能力凭证列出被禁止的操作。
    • D.访问控制列表在登录时检查，而能力凭证在每次请求时检查。

    两者描述的是同一张访问矩阵，只是沿不同的轴来读取。访问控制列表属于某个客体，列出被允许访问它的主体，因此便于回答"谁能访问这个文件"。能力凭证属于某个主体，列出它可以访问的客体，因此便于回答"这个用户能访问什么"，但要列举某一资源的全部可访问者就比较困难。

    编号 QB-WYR5UC依据： NIST IR 7316, Assessment of Access Control Systems — access control lists and capability lists报告此题的问题

22. 22. 某小型设计工作室希望每位文件创建者都能直接把文件分享给自己选定的合作者，同时尽可能减少管理方面的介入。哪种模型适合，其代价是什么？

    • A.基于规则的控制；条件统一适用，但共享要等待规则集配置。
    • B.强制访问控制；保密性强，但每个文件都必须先贴上标签。
    • C.基于角色的控制；入职一致，但共享被绑定在工作职能上。
    • D.自主访问控制；运行灵活，但由此形成的权限难以审计。✓ 答案

    当明确的需求是灵活性最大、管理介入最小时，适合的是自主访问控制模型，因为属主自行授权，路径上没有中央权威。其代价恰恰就是它便利的来源：决策分散，权限累积得参差不齐，复核和回收都变得困难。选择模型要对照需求中的关键词——灵活性、保密性，还是可扩展的一致性。

    编号 QB-FGANKE依据： NIST IR 7316, Assessment of Access Control Systems — comparison of discretionary, mandatory, role-based and rule-based models报告此题的问题

练习题依据 ISC2《Certified in Cybersecurity (CC) 考试大纲》编写。本网站与 ISC2 无关联，也未获其认可，题目并非真实考题。ISC2 会定期修订知识域及其权重，考试长度、通过标准与报考条件均由其规定——报名前请向 ISC2 确认现行大纲与要求。 官方 CC 考试大纲 →