2025年零信任安全架构师考试题库（附答案和详细解析）（1203）.docxVIP

零信任安全架构师考试试卷

一、单项选择题（共10题，每题1分，共10分）

零信任安全架构的核心假设是？

A.网络内部是安全的

B.所有访问请求均不可信

C.设备身份比用户身份更重要

D.静态边界防护是最有效手段

答案：B

解析：零信任的核心原则是“永不信任，始终验证”，默认所有访问请求（无论来自内部或外部）均不可信，需通过持续验证确认其合法性。A错误，零信任否定“内部安全”假设；C错误，用户与设备身份需协同验证；D错误，零信任强调动态边界而非静态边界。

根据NISTSP800-207，零信任架构的“持续验证”不包括以下哪项？

A.用户身份合法性

B.设备健康状态

C.网络带宽利用率

D.访问上下文（如位置、时间）

答案：C

解析：NIST定义的持续验证要素包括身份、设备状态、访问上下文（位置、时间、风险等级等），但不涉及网络带宽利用率（属于性能指标）。C为干扰项。

软件定义边界（SDP）的核心功能是？

A.基于角色的访问控制（RBAC）

B.隐藏服务入口，仅向授权请求暴露

C.加密所有网络流量

D.实时阻断恶意流量

答案：B

解析：SDP通过“先验证后连接”机制，在未完成身份、设备等验证前隐藏服务IP和端口，避免暴露攻击面。A是权限管理手段；C是加密技术功能；D是入侵防御系统（IPS）功能，均非SDP核心。

零信任架构中“最小权限原则”指的是？

A.用户仅获得完成任务所需的最低权限

B.所有用户权限默认设为“拒绝”

C.网络流量仅允许已知协议

D.设备仅安装必要软件

答案：A

解析：最小权限原则要求主体（用户/设备）仅获得完成当前任务所需的最小权限集合，避免过度授权导致的风险。B是“默认拒绝”原则；C是协议白名单；D是设备硬化措施，均非最小权限的直接定义。

以下哪项不属于零信任的“动态访问控制”特征？

A.基于实时风险调整权限

B.用户首次登录后永久授权

C.结合设备补丁状态决策

D.根据地理位置限制访问

答案：B

解析：动态访问控制强调根据实时上下文（风险、设备状态、位置等）动态调整权限，而非一次性授权。B属于传统静态授权模式，不符合零信任动态性。

零信任架构中“微隔离”的主要目的是？

A.提升网络传输效率

B.限制横向攻击扩散

C.简化安全策略管理

D.降低身份认证复杂度

答案：B

解析：微隔离通过细粒度的流量控制策略，将网络划分为更小的安全区域，防止攻击者在突破某一区域后横向移动至其他区域。A是网络优化目标；C、D与微隔离无关。

零信任架构的“身份为中心”原则要求优先管理的对象是？

A.物理服务器IP地址

B.用户、设备、应用的数字身份

C.网络边界防火墙规则

D.终端设备操作系统版本

答案：B

解析：零信任以身份（用户、设备、应用）为信任决策的核心依据，通过统一身份管理（IAM）实现全场景的身份验证与权限控制。A、C是传统边界安全的管理对象；D是设备健康检查的一部分。

以下哪项是零信任架构与传统“城堡-护城河”模型的根本区别？

A.是否使用防火墙

B.是否依赖静态网络边界

C.是否支持远程访问

D.是否加密数据传输

答案：B

解析：传统模型依赖静态边界（如防火墙），认为边界内可信；零信任否定静态边界，强调“持续验证”。A、C、D是技术手段，非根本区别。

零信任实施的第一步通常是？

A.部署身份认证系统

B.绘制完整的资产与数据流图

C.制定访问控制策略

D.启用设备健康检查

答案：B

解析：零信任实施需先明确“保护什么”（资产）和“如何流动”（数据流），否则无法制定精准策略。A、C、D均为后续步骤。

以下哪项技术通常不用于零信任的设备状态验证？

A.端点检测与响应（EDR）

B.防病毒软件（AV）

C.网络流量分析（NTA）

D.操作系统补丁检查

答案：C

解析：设备状态验证关注端点自身健康（如病毒库更新、补丁状态、EDR运行状态），NTA是网络流量分析技术，用于检测异常流量，不直接验证设备状态。

二、多项选择题（共10题，每题2分，共20分）

零信任架构的核心原则包括（）

A.持续验证所有访问请求

B.最小化可信计算基（TCB）

C.默认拒绝所有访问

D.仅依赖网络边界防护

答案：ABC

解析：零信任核心原则包括“持续验证”“最小权限”“默认拒绝”“最小化TCB”等；D是传统安全特征，错误。

NISTSP800-207定义的零信任架构组件包括（）

A.策略引擎

B.身份服务

C.网络基础设施

D.数据加密模块

答案：ABC

解析：NIST明确零信任组件为策略引擎（决策）、身份服务（验证）、网络基础设施（执行）、端点（访问主体）、工作负载（被访问对象）；D是具体安全技术，非架构组件。

零信任架构中“上下文感知”需