2025年零信任安全架构师考试题库（附答案和详细解析）（1027）.docxVIP

零信任安全架构师考试试卷

一、单项选择题（共10题，每题1分，共10分）

零信任安全架构的核心假设是以下哪项？

A.网络边界是安全的防护屏障

B.默认不信任任何内部或外部实体

C.静态权限分配可以满足安全需求

D.一次认证即可长期信任访问请求

答案：B

解析：零信任的核心原则是“默认不信任”（NIST800-207定义），即所有访问请求（无论来自内部或外部）都需持续验证。选项A是传统边界安全的假设；C错误，因零信任要求动态权限；D错误，需持续验证而非一次认证。

以下哪项不属于零信任架构的“持续验证”要素？

A.设备健康状态检查

B.用户行为分析（UBA）

C.网络流量加密传输

D.上下文环境（如位置、时间）评估

答案：C

解析：持续验证关注对访问主体（用户、设备）的动态评估，包括设备健康、行为分析、上下文环境等。网络加密是传输层安全措施，属于“最小权限”或“安全通信”的技术手段，而非验证要素。

软件定义边界（SDP）的核心功能是？

A.基于角色的访问控制（RBAC）

B.隐藏服务入口，仅向授权请求暴露

C.实现跨云平台的统一身份认证

D.对网络流量进行深度包检测（DPI）

答案：B

解析：SDP通过“隐身”服务入口（仅授权请求可发现），避免暴露资产于公网，符合零信任“最小暴露面”原则。A是权限管理方式；C是身份治理内容；D是传统防火墙功能。

零信任架构中“最小权限原则”的具体体现是？

A.用户仅能访问完成任务所需的最小资源

B.所有用户默认拥有系统管理员权限

C.网络设备开放所有端口以提高可用性

D.数据存储不设置访问控制列表（ACL）

答案：A

解析：最小权限要求根据任务需求动态分配最小必要权限，避免过度授权。B、C、D均违反该原则，可能导致权限滥用或攻击面扩大。

以下哪项是零信任架构中“微隔离”的典型应用场景？

A.限制外部用户访问企业官网

B.隔离生产环境与测试环境的服务器通信

C.对员工邮件进行垃圾邮件过滤

D.为移动设备部署虚拟专用网络（VPN）

答案：B

解析：微隔离通过细粒度策略隔离同一网络内的不同资产（如生产与测试环境），防止横向攻击。A是边界控制；C是邮件安全；D是传统远程访问方案。

根据NIST800-207，零信任架构的“决策引擎”主要负责？

A.存储用户身份信息

B.收集设备和环境的上下文数据

C.基于策略生成访问授权结果

D.加密传输过程中的敏感数据

答案：C

解析：决策引擎是零信任的“大脑”，结合策略、上下文数据（如用户身份、设备状态）生成是否允许访问的决策。A是身份存储系统功能；B是数据收集模块；D是传输层安全技术。

零信任架构中“身份治理”的核心目标是？

A.减少用户账户数量

B.实现所有用户身份的集中管理与动态生命周期控制

C.禁止使用多因素认证（MFA）

D.仅允许管理员访问关键系统

答案：B

解析：身份治理关注身份的全生命周期管理（创建、变更、注销），确保身份与权限的动态匹配。A、C、D均偏离核心目标，可能导致身份管理混乱。

以下哪项不属于零信任实施的“技术挑战”？

A.现有系统的兼容性改造

B.用户行为基线的建模与分析

C.企业安全策略的重新设计

D.物理网络设备的大规模替换

答案：D

解析：零信任强调逻辑控制（如软件定义策略），不依赖物理设备替换。A（系统改造）、B（行为分析）、C（策略设计）均是典型技术挑战。

零信任架构中“风险评估”的主要输入不包括？

A.用户历史访问行为数据

B.设备的漏洞扫描结果

C.网络带宽使用情况

D.当前访问的上下文环境（如IP地址、时间）

答案：C

解析：风险评估需结合主体（用户、设备）的安全状态与访问环境，网络带宽属于性能指标，不直接影响安全风险。A、B、D均是关键输入。

以下哪项是零信任架构区别于传统安全架构的最本质特征？

A.使用多因素认证（MFA）

B.基于“持续验证”的动态访问控制

C.部署下一代防火墙（NGFW）

D.对数据进行加密存储

答案：B

解析：传统架构依赖边界防御和静态权限，零信任的核心是“持续验证所有访问请求”，动态调整权限。A、C、D是传统与零信任均可采用的技术手段。

二、多项选择题（共10题，每题2分，共20分）

零信任安全架构的核心原则包括（）

A.默认不信任

B.最小权限

C.静态边界防御

D.持续验证

答案：ABD

解析：NIST800-207明确零信任的三大核心原则：默认不信任、最小权限、持续验证。C是传统边界安全的特征，与零信任“无边界”理念冲突。

以下属于零信任关键技术的有（）

A.软件定义边界（SDP）

B.微隔离（Micro-Segmentation）

C.动态访问控制（DAC）

D.网络地址转换（NAT）