28. 關於零信任(Zero Trust)的敘述，下列何者正確？
(A) 零信任是不用始終驗證
(B) 僅提供必要的權限
(C) 不需保持網路可見性
(D) 非所有流量都是不安全的前提下進行零信任設計

答案：登入後查看
統計： A(3), B(50), C(1), D(11), E(0) #3671714

詳解 (共 1 筆)

#7147064

這題的正確答案是 (B) 僅提供必要的權限。

以下為您解析每個選項，幫助您釐清零信任 (Zero Trust) 的核心觀念：

 

正確選項解析

 

  • (B) 僅提供必要的權限 ✅

    • 對應原則：最小權限原則 (Principle of Least Privilege, PoLP)

    • 解析： 這是零信任的三大支柱之一。系統只給予使用者或裝置完成當前工作所需的最小權限，且僅在需要的時間內開放。這能確保萬一帳號被盜，駭客能造成的損害也會被限制在最小範圍。

 

錯誤選項解析

 

  • (A) 零信任是不用始終驗證 ❌

    • 正確觀念： 零信任的核心口號是 「永不信任，始終驗證 (Never Trust, Always Verify)」。

    • 解析： 傳統資安架構採取「邊界防禦」，一旦進入內網就被視為可信任；但零信任假設內網已經充滿威脅，因此每一次的存取請求，無論來自內網還是外網，都必須重新驗證。

  • (C) 不需保持網路可見性 ❌

    • 正確觀念： 零信任強調 「可視性與分析 (Visibility and Analytics)」。

    • 解析： 你無法保護你看不見的東西。零信任架構必須要能看見所有的網路流量、使用者行為與裝置狀態，才能即時偵測異常並做出授權判斷。

  • (D) 非所有流量都是不安全的前提下進行零信任設計 ❌

    • 正確觀念： 零信任的預設前提是 「假設遭受入侵 (Assume Breach)」 且 「所有流量都是不安全的」。

    • 解析： 零信任不再區分「安全的內網」與「不安全的外網」。所有的流量，即使是兩台內網伺服器之間的溝通，都被預設為可能帶有惡意，必須經過加密與驗證。選項 (D) 說「非所有流量都是不安全（意即有些是安全的）」是傳統信任模式的思維，與零信任相悖。

 

總結

 

零信任的三大核心原則 (根據 NIST SP 800-207)：

  1. Verify Explicitly (明確驗證) -> 反駁 (A)

  2. Use Least Privilege Access (使用最小權限) -> 支持 (B)

  3. Assume Breach (假設遭受入侵) -> 反駁 (D)

0
0