2026年零信任安全架构师考试题库（附答案和详细解析）（0101）.docxVIP

零信任安全架构师考试试卷

一、单项选择题（共10题，每题1分，共10分）

零信任安全架构的核心原则是？

A.强化网络边界防护

B.永不信任，始终验证

C.静态分配最大权限

D.仅验证首次访问身份

答案：B

解析：零信任的核心是“默认不信任任何内外部实体（用户、设备、应用等），所有访问必须经过持续验证”（NISTSP800-207定义）。A是传统边界安全的核心；C违背“最小权限”原则；D忽略“持续验证”要求。

NIST发布的零信任架构标准文档编号是？

A.SP800-53

B.SP800-160

C.SP800-207

D.SP800-190

答案：C

解析：NIST于2020年发布《ZeroTrustArchitecture》（SP800-207），是零信任领域的权威标准。A是安全控制目录，B是系统安全工程指南，D是云安全参考架构。

零信任架构中“最小权限原则”的核心要求是？

A.为用户分配所有可能需要的权限

B.根据实时风险动态调整权限

C.仅授予完成任务所需的最小权限

D.权限分配后不再变更

答案：C

解析：最小权限原则要求“主体仅获得完成当前任务所需的最小权限”（ISO/IEC27001）。B是动态权限的延伸，但非核心定义；A和D违背原则。

零信任架构中“持续验证”不包括以下哪项？

A.用户身份合法性

B.设备健康状态（如补丁、杀毒软件）

C.网络带宽占用率

D.访问行为异常检测

答案：C

解析：持续验证需评估身份、设备、环境、行为等维度（Gartner零信任框架）。网络带宽属于性能指标，非安全验证内容。

零信任架构中的“微隔离”主要针对哪种流量？

A.南北向（外部到内部）

B.东西向（内部横向）

C.公网出口流量

D.数据中心入口流量

答案：B

解析：微隔离通过细粒度策略隔离内部不同业务、设备间的横向流量（东西向），防止横向渗透（CSA零信任白皮书）。南北向流量由边界设备处理。

以下哪项是零信任架构中“身份”的核心特征？

A.静态且唯一

B.动态关联上下文

C.仅包含用户账号

D.与设备无关

答案：B

解析：零信任的“身份”需结合用户、设备、位置、时间等上下文动态评估（Forrester零信任模型）。A是传统静态身份，C和D忽略多维度关联。

零信任架构中“动态策略引擎”的核心功能是？

A.预设固定访问规则

B.根据实时风险调整访问策略

C.阻断所有未授权访问

D.记录访问日志

答案：B

解析：动态策略引擎需结合持续验证结果（如设备风险、用户行为）实时调整策略（NISTSP800-207）。A是传统静态策略，C是执行层功能，D是审计功能。

以下哪项不属于零信任的“信任评估维度”？

A.用户角色

B.网络位置

C.应用重要性

D.设备MAC地址

答案：D

解析：信任评估需考虑主体（用户/设备）、环境（位置/时间）、客体（应用/数据）等维度（MITRE零信任框架）。MAC地址可伪造，非核心评估维度。

零信任架构实施的关键前提是？

A.完全替换现有IT基础设施

B.建立统一的身份管理体系（IAM）

C.关闭所有外部访问接口

D.部署最新防火墙设备

答案：B

解析：零信任要求“身份是访问的基础”，需通过IAM实现用户、设备、应用的统一身份标识与认证（Gartner关键能力报告）。A和C不现实，D是传统防护手段。

以下哪项是零信任架构的典型应用场景？

A.企业内部局域网完全可信

B.远程办公人员访问企业资源

C.关闭所有网络分段

D.仅验证管理员身份

答案：B

解析：零信任适用于混合办公、多云互联等“无边界”场景（如远程办公），需对非可信网络中的访问持续验证。A是传统信任模型，C违背微隔离原则，D忽略普通用户验证。

二、多项选择题（共10题，每题2分，共20分）

零信任架构的核心组件包括？（）

A.统一身份管理（IAM）

B.动态策略引擎

C.传统边界防火墙

D.持续监控与分析

答案：ABD

解析：零信任核心组件包括身份治理（IAM）、动态策略（根据风险调整）、持续监控（验证全流程）（NISTSP800-207）。C是传统边界防护手段，非零信任核心。

零信任“持续验证”的关键技术包括？（）

A.多因素认证（MFA）

B.设备可信度评估（如端点检测响应EDR）

C.行为分析（用户和实体行为分析UEBA）

D.静态IP白名单

答案：ABC

解析：持续验证需结合MFA（身份）、EDR（设备状态）、UEBA（行为异常）等动态技术（CSA最佳实践）。D是静态验证，无法适应零信任需求。

零信任架构与传统边界安全的主要区别有？（）

A.信任模型：零信任默认不信任，传统默认信任内部

B.防护范围：零信任覆盖全链路，