2026年零信任安全架构师考试题库（附答案和详细解析）（0128）.docxVIP

零信任安全架构师考试试卷

一、单项选择题（共10题，每题1分，共10分）

零信任安全架构的核心假设是（）

A.信任内部网络所有设备

B.永远不信任，始终验证

C.依赖物理边界防御

D.仅验证用户身份无需设备状态

答案：B

解析：零信任的核心原则是“永不信任，始终验证”（NISTSP800-207定义）。选项A错误，零信任不预设内部网络可信；C错误，传统安全依赖物理边界，零信任不依赖静态边界；D错误，零信任需验证用户、设备、上下文等多维度信息。

以下哪项是零信任架构中“最小权限原则”的典型实践？（）

A.为所有员工分配管理员权限

B.根据角色动态分配必要权限

C.仅在首次访问时验证权限

D.允许所有设备访问核心系统

答案：B

解析：最小权限原则要求仅授予完成任务所需的最小权限（CSA零信任指南）。B选项动态分配必要权限符合该原则；A错误，过度授权违反最小权限；C错误，零信任要求持续验证而非单次；D错误，未限制设备权限。

零信任架构中“持续验证”不包括以下哪项维度？（）

A.用户身份真实性

B.设备健康状态

C.网络带宽占用

D.访问时间与地点

答案：C

解析：持续验证需覆盖用户、设备、上下文（时间、地点、操作行为）等维度（Gartner零信任框架）。C选项网络带宽属于性能指标，非安全验证维度。

软件定义边界（SDP）的核心功能是（）

A.开放所有端口供外部访问

B.隐藏服务端真实IP，仅授权客户端可见

C.依赖传统防火墙进行流量过滤

D.仅验证用户身份不验证设备

答案：B

解析：SDP通过“隐藏-验证-连接”机制，服务端IP对未授权客户端不可见（OASISSDP标准）。B正确；A错误，SDP严格限制访问；C错误，SDP是零信任技术，不依赖传统防火墙；D错误，SDP需验证用户和设备。

零信任架构中“微隔离”的主要作用是（）

A.扩大网络攻击面

B.将资源划分为更小的安全域并实施细粒度控制

C.仅保护网络边界

D.替代身份认证系统

答案：B

解析：微隔离通过逻辑隔离将资源划分为安全域，限制横向移动（Cisco零信任白皮书）。B正确；A错误，微隔离缩小攻击面；C错误，微隔离是内部防护，非边界；D错误，与身份认证互补而非替代。

以下哪项不属于零信任架构的关键组件？（）

A.身份治理与访问管理（IAM）

B.设备健康状态检查引擎

C.传统边界防火墙

D.安全策略决策引擎（PDP）

答案：C

解析：零信任关键组件包括IAM、设备检查、策略引擎、日志分析等（NISTSP800-207）。C选项传统防火墙属于边界安全设备，非零信任核心组件。

零信任架构实施的第一步通常是（）

A.部署所有安全工具

B.全面断开外部网络连接

C.资产清单梳理与风险评估

D.直接配置访问控制策略

答案：C

解析：零信任实施需遵循“先发现、再保护”（Forrester实施指南）。C正确；A错误，工具部署需基于需求；B错误，断网不符合业务连续性；D错误，策略需基于资产和风险制定。

在零信任模型中，“上下文感知”主要指（）

A.仅感知用户所在部门

B.感知用户、设备、时间、位置等动态信息

C.仅感知网络流量大小

D.感知物理设备的地理位置

答案：B

解析：上下文感知需整合用户属性、设备状态、访问时间、IP位置、操作行为等多维度动态信息（Gartner定义）。B正确；A/C/D均为单一维度，不全面。

零信任网络访问（ZTNA）与传统VPN的主要区别是（）

A.ZTNA需要预连接虚拟专用网络

B.ZTNA基于“需要知道”原则动态授权

C.VPN支持多因素认证

D.VPN隐藏服务端真实IP

答案：B

解析：ZTNA仅在需要时为授权主体开放特定资源访问（CSAZTNA标准），而VPN是预连接的全网络访问。B正确；A错误，ZTNA无需预连接；C错误，VPN也可支持MFA；D错误，ZTNA隐藏IP，VPN不隐藏。

以下哪项不符合零信任“持续监控”的要求？（）

A.仅在工作日监控访问行为

B.实时分析异常访问模式

C.记录所有访问日志并留存

D.自动触发策略调整（如阻断异常连接）

答案：A

解析：持续监控需7×24小时进行（NIST最佳实践）。A错误，监控无时间限制；B/C/D均符合持续监控要求。

二、多项选择题（共10题，每题2分，共20分）

零信任安全架构的核心设计原则包括（）

A.永不信任，始终验证

B.最小化攻击面

C.依赖静态网络边界

D.持续监控与自适应

答案：ABD

解析：NISTSP800-207明确零信任原则包括持续验证、最小权限（对应最小化攻击面）、持续监控。C错误，零信任不依赖静态边界。

零信任架构中“设备健康状态”的验证内容通常包括（）