22 道网络架构与云安全练习题及答案

ISC2 网络安全入门认证（CC）考试练习的全部网络架构与云安全练习题，附正确答案和简短解析。

1. 某机构把网络划分为若干独立网段，并对网段之间往来的流量进行过滤。从概念层面看，这种分段主要限制的是什么？
- A.它限制入侵者攻陷一台主机后能够向其他网段扩散的范围✓ 答案
- B.它会把跨越边界从一个网段进入另一个网段的数据包全部加密
- C.它使网段内部各台主机的操作系统不再需要安装安全补丁
- D.它保证任何恶意软件都无法在网段内部的主机上运行起来
分段的作用机制是迫使不同系统组之间的流量必须经过过滤点，因此一次入侵被限制在它最初发生的网段内，而不会自由蔓延。它本身不加密流量、不打补丁，也不能阻止恶意代码在主机上执行，这些属于另外的控制措施。
编号 QB-5F7NKR依据： ISC2 Certified in Cybersecurity Exam Outline, Networking and Cloud Security Concepts — understand network security architecture — network segmentation报告此题的问题
2. 某小公司使用一个扁平网络：所有工作站、服务器、打印机和摄像头都处在同一个网段中，设备之间没有任何过滤。为什么这种做法被认为是危险的？
- A.扁平网络会阻断加密会话，因此应用程序只能退回到明文协议进行通信
- B.扁平网络无法自动分配地址，因此每台设备都必须由管理员手工配置
- C.扁平网络无法把名称解析为地址，因此只能通过地址访问每一台服务器
- D.扁平网络中一台设备被攻陷即可访问其余设备，感染会毫无阻碍蔓延✓ 答案
没有内部边界时，攻击者控制的任何一台主机都能畅通无阻地访问其余所有主机，于是单一立足点就等于整个环境的访问权。地址分配、名称解析和加密与网络是否分段并无关系。
编号 QB-PXQ5CT依据： ISC2 Certified in Cybersecurity Exam Outline, Networking and Cloud Security Concepts — network segmentation and defense in depth报告此题的问题
3. 一名管理员声称，把访客设备放进单独的虚拟局域网就能将其彻底隔离，因此这构成了一道完整的安全边界。以下哪项纠正了这种说法？
- A.虚拟局域网在物理上划分网络，两个虚拟局域网不可能共用同一台交换机或上联线路
- B.虚拟局域网会在帧离开交换机时加密，其防护强度取决于所选用的加密算法
- C.虚拟局域网工作在第三层，两者之间的流量默认会受到防火墙规则的过滤
- D.虚拟局域网只是逻辑隔离，跳跃攻击可以绕过它，因此它只是众多控制措施之一✓ 答案
虚拟局域网是在共享交换硬件上由软件划分出的第二层隔离；由于这种隔离依靠标签而非物理断开，VLAN 跳跃等手法可以窥探到其他虚拟局域网的流量。因此它是有用的分段工具，但本身并不构成有保障的安全边界。
编号 QB-6FJYRS依据： ISC2 Certified in Cybersecurity Exam Outline, Networking and Cloud Security Concepts — VLANs; IEEE 802.1Q VLAN tagging on Ethernet frames报告此题的问题
4. 某数据中心团队在几乎每一个连接点上都设置过滤策略，使每个工作负载只能与它确实需要的特定负载通信。这属于哪一种理念，针对的又是哪类流量？
- A.纵深防御，针对在全站范围内叠加管理、技术与物理层面的控制
- B.屏蔽子网，针对从互联网进入、流向对外发布服务器的入站流量
- C.微分段，针对数据中心内部系统之间横向流动的东西向流量✓ 答案
- D.网络准入控制，针对设备接入网络那一刻对其安全状态的检查
微分段在几乎每个连接点上都建立内部边界，使数据中心内部服务器之间的横向移动都必须经过策略检查，而这恰恰是只做外围防护的设计无法看到的流量。屏蔽子网管的是来自互联网的入站流量，而不是这种内部东西向流量。
编号 QB-KXN5UP依据： ISC2 Certified in Cybersecurity Exam Outline, Networking and Cloud Security Concepts — micro-segmentation; NIST SP 800-207, Zero Trust Architecture (micro-segmentation approach)报告此题的问题
5. 某防火墙把接口划分为若干区域——非受信区、屏蔽子网和内部区——并在这些区域之间编写规则。这样组织防火墙背后的原则是什么？
- A.把系统按所在楼宇分组，楼宇之间的流量除非有规则拒绝，否则一律放行
- B.把系统按信任级别分组，组间流量除非有规则明确放行，否则一律拒绝✓ 答案
- C.把系统按带宽需求分组，组间流量以限速整形为主，而不是按规则过滤
- D.把系统按操作系统分组，不同平台之间的流量只检查是否含已知恶意代码
划分区域的意义在于让信任程度相近的接口共用同一套策略，防火墙随后在默认拒绝的前提下，依据明确的规则集审查每一次跨区域的流量。按楼宇、平台或带宽分组无法表达任何可供规则执行的信任关系。
编号 QB-3FGY8P依据： NIST SP 800-41, Guidelines on Firewalls and Firewall Policy (firewall policy and network zones); ISC2 CC Exam Outline, Networking and Cloud Security Concepts — firewall zones报告此题的问题
6. 某机构把对外提供服务的服务器放入屏蔽子网（常称为 DMZ，隔离区）。这种设计实现了什么，又刻意避免了什么？
- A.外部用户可以访问对外服务器，同时把内部文件服务器也迁入同一子网以简化规则
- B.外部用户可以访问对外服务器，但这些服务器不会因此获得通往内网的畅通路径✓ 答案
- C.外部用户被完全挡在对外服务器之外，只有通过隧道接入的员工才能使用它们
- D.外部用户可以访问对外服务器，而这些服务器因有防火墙遮挡便无需再打补丁
屏蔽子网是一个被单独过滤的区域，它有意允许外部访问，同时又用另一套规则阻止其中主机不受限制地向内网发起流量，使被攻陷的对外服务器不会成为通往内网的入口。区域内的主机仍然需要完整的补丁和加固。
编号 QB-MXZFZQ依据： NIST SP 800-41, Guidelines on Firewalls and Firewall Policy (demilitarized zone / screened subnet design)报告此题的问题
7. 以下哪项最准确地描述了作为设计原则的纵深防御？
- A.把多种彼此独立的控制措施分层叠加，其中一层失效也不会暴露资产✓ 答案
- B.在同一位置重复部署相同的控制措施，需求上升时处理能力随之翻倍
- C.在边界上选用一道极强的控制措施，内部较弱的控制因此就不再必要
- D.只对最关键的资产部署控制措施，使有限的投入集中在最要紧之处
纵深防御之所以有效，是因为各层彼此独立且类型不同——管理类、技术类与物理类——所以能突破一层的弱点通常无法同样突破下一层。在同一位置重复部署相同的控制只增加处理能力而非深度，因为同一个缺陷会同时击穿两份副本。
编号 QB-4FUAEQ依据： ISC2 Certified in Cybersecurity Exam Outline, Networking and Cloud Security Concepts — Defense in depth; NIST SP 800-160 Vol. 1, security design principle of defense in depth报告此题的问题
8. 某公司的全部安全设计就是一台互联网防火墙：主机没有终端防护，内部没有任何过滤，员工也没有接受过安全培训。以下哪项批评最准确？
- A.该设计只有一层防护，越过防火墙之后攻击者不会再遇到任何阻碍✓ 答案
- B.该设计层数过多，各控制措施重叠产生的告警会淹没人手很少的团队
- C.该设计依赖物理控制，只能保护设备，却无法保护其中存储的记录
- D.该设计只使用管理类控制，只能提出要求，却没有任何强制执行手段
所描述的一切都集中在单一的边界点上，因此该架构只有一层、毫无纵深：一封钓鱼邮件、一台外包人员的笔记本，或任何被防火墙放行的流量，进入环境后都不会再遇到任何阻拦。防火墙属于技术类控制，所以该设计既不是物理类的，也不是管理类的。
编号 QB-HXXFGM依据： ISC2 Certified in Cybersecurity Exam Outline, Networking and Cloud Security Concepts — Defense in depth — layered controls报告此题的问题
9. 一名评审人员指出，某机构的各道防护层全部由技术产品构成。以下哪项补充最能扩展其纵深防御？
- A.在原有防火墙后面再串接一台不同品牌的防火墙，仍位于同一边界链路
- B.升级到更快的互联网线路，使检测设备在业务高峰期不会成为瓶颈
- C.延长日志保留期限，使事件发生之后可供调查的证据覆盖更长时间
- D.增加面向员工的制度与安全意识培训，并补上机房门锁等物理层控制✓ 答案
纵深防御是跨控制类型定义的，而不仅仅是跨设备叠加，因此全是技术产品的体系所缺的一环，要靠制度与培训这类管理控制，以及机房门锁这类物理控制来补上。在同一条边界链路上再加一台设备，依赖点仍然只有一个。
编号 QB-ZESAWK依据： ISC2 Certified in Cybersecurity Exam Outline, Networking and Cloud Security Concepts — Defense in depth spans administrative, technical and physical controls报告此题的问题
10. 零信任方法刻意抛弃的是以下哪一个假设？
- A.认为在为账户授予任何资源访问权之前，必须先核实用户的身份
- B.认为已经位于网络边界之内的用户和流量可以被视为可信✓ 答案
- C.认为敏感信息在公共网络上传输时必须始终处于加密状态
- D.认为管理操作必须留下日志，以便日后进行审查与调查
零信任的出发点是假定内部网络同样充满敌意，从而取消了边界模型对已经进入内部的一切所给予的隐含信任。另外三项都是零信任保留、甚至更加倚重的常规良好实践。
编号 QB-VPQVAJ依据： NIST SP 800-207, Zero Trust Architecture (tenets — no implicit trust based on network location)报告此题的问题
11. 在零信任模式下，一位一小时前已完成认证的用户现在请求访问另一个内部应用。该模式要求怎么做？
- A.该请求直接放行，因为此前的认证当天对整个内部网络都有效
- B.该请求直接放行，因为该用户设备的地址位于受信任的内网范围内
- C.该请求需挂起等待管理员手工批准该用户使用这个新应用
- D.该请求必须依据策略重新完成认证与授权，才能访问该资源✓ 答案
在零信任中，访问权是按会话、按资源逐次授予的，因此每一个新请求都要重新依据策略评估，而不能沿用此前登录或设备地址所带来的信任。这种重新评估是由策略自动执行的，并不是排队等人工审批。
编号 QB-D7W2WJ依据： NIST SP 800-207, Zero Trust Architecture (access granted on a per-session basis, evaluated per request)报告此题的问题
12. 尽管各机构常常把零信任与微分段一同部署，二者的区别究竟在哪里？
- A.零信任只适用于云端的工作负载，而微分段只适用于本地机房里的物理设备
- B.零信任把防护重心放在外层边界上，而微分段则彻底取消了网络内部的边界
- C.零信任把防护重心放在资产、身份与数据上，微分段则在内部增设边界✓ 答案
- D.零信任用持续监控取代了身份认证，而微分段用加密取代了流量过滤
微分段是一种网络手段：它把内部边界层层增加，使横向移动必须穿过策略检查。零信任的范围更广——它把判定点移到主体、资产和数据本身，对每个请求逐一验证，因此常被形容为修更好的门，而不是筑更高的墙。
编号 QB-WP38GK依据： NIST SP 800-207, Zero Trust Architecture (micro-segmentation as one deployment approach; protection focused on resources)报告此题的问题
13. 一名开发人员在几分钟内通过服务商的门户增加了额外的存储容量，全程没有与服务商的任何人员联系。这体现了云计算的哪一项基本特征？
- A.快速弹性，因为容量会随着业务负载的上升和下降而扩张或收缩
- B.资源池化，因为容量取自多家租户共同使用的同一批硬件设备
- C.按需自助服务，因为获取容量的过程无须与服务商的人员打交道✓ 答案
- D.计量服务，因为所消耗的容量会被计量并按使用量进行计费
关键细节在于使用方单方面自行开通了能力，全程无须与服务提供方的人员交互，这正是按需自助服务的定义。弹性描述的是随负载伸缩，计量服务描述的是计量计费，都不是本题强调的内容。
编号 QB-E79D3M依据： NIST SP 800-145, The NIST Definition of Cloud Computing (essential characteristic: on-demand self-service)报告此题的问题
14. 多家彼此无关的客户的虚拟机运行在同一批物理主机上，服务商根据需求在它们之间重新分配容量。这属于哪一项基本特征？
- A.广泛的网络接入，因为这些共享主机可以被多种客户端设备访问
- B.计量服务，因为服务商会统计每个客户使用了多少共享容量
- C.按需自助服务，因为客户是自行通过门户申请这些共享容量的
- D.资源池化，因为同一个共享资源池以动态分配的方式服务多个租户✓ 答案
资源池化指的正是这种多租户模式：物理与虚拟资源汇聚成池，并按使用方的需求动态分配和再分配，与题干描述完全一致。计量与自助服务也可能同时存在，但都无法解释为何互不相关的客户共用同一批主机。
编号 QB-TPZ7YF依据： NIST SP 800-145, The NIST Definition of Cloud Computing (essential characteristic: resource pooling / multi-tenant model)报告此题的问题
15. 员工通过普通的网络连接，从公司笔记本电脑、个人平板和手机上打开同一个托管应用。这描述的是哪一项基本特征？
- A.广泛的网络接入，因为该服务可通过网络从各类标准客户端设备访问✓ 答案
- B.快速弹性，因为该服务会根据接入客户端的数量自动调整容量规模
- C.资源池化，因为这些客户端由多家租户共享的同一批硬件提供服务
- D.按需自助服务，因为这些客户端无须服务商协助即可自行获得访问
广泛的网络接入是指能力通过网络提供，并可经由标准机制被各种瘦客户端和胖客户端平台访问，而笔记本、平板与手机的混合使用正体现了这一点。题干并未提到容量发生变化，也未提到按量计费。
编号 QB-B77DJG依据： NIST SP 800-145, The NIST Definition of Cloud Computing (essential characteristic: broad network access)报告此题的问题
16. 某开发团队希望自行编写、测试并部署自己的应用，而由服务商提供并维护其下层的操作系统、运行时与硬件。哪一种服务模式最符合？
- A.基础设施即服务，客户需要自行安装并持续维护其中的操作系统
- B.平台即服务，客户在服务商维护的平台上管理自己的应用和数据✓ 答案
- C.软件即服务，客户只是使用服务商提供的一套已经做好的应用
- D.私有部署模式，客户自行拥有并维护供自己独家使用的整套体系
在平台即服务中，使用方把自己开发的应用部署到由服务商管理的基础设施上：它不控制网络、服务器、操作系统或存储，但控制所部署的应用及其配置。基础设施即服务会把操作系统交给客户维护，而软件即服务则根本不留下让团队开发的应用。
编号 QB-UPCJ5H依据： NIST SP 800-145, The NIST Definition of Cloud Computing (service model: Platform as a Service)报告此题的问题
17. 从基础设施即服务到平台即服务再到软件即服务，客户自行管理的层次所占比重如何变化？
- A.客户自行管理的部分逐级减少，因为服务商接管了下层越来越多的层次✓ 答案
- B.客户自行管理的部分逐级增加，因为需要对接服务商越来越多的工具
- C.客户自行管理的部分始终不变，因为无论选哪种模式都要管同样的层次
- D.客户自行管理的部分只在存储上减少，计算在各模式中仍归客户负责
每一种模式都把更多的底层交给服务商：基础设施即服务把操作系统及其之上的一切留给客户，平台即服务接管了操作系统和运行时，软件即服务连应用也一并接管。因此客户的管辖范围逐级收窄，但数据和账户始终留在客户手中。
编号 QB-C7JQQH依据： NIST SP 800-145, The NIST Definition of Cloud Computing (consumer control under IaaS, PaaS and SaaS); ISC2 CC Exam Outline, Networking and Cloud Security Concepts — shared security model报告此题的问题
18. 某公司委托一家服务商建设并运营一个仅供该公司使用的云环境，所用硬件不与任何其他客户共享。这属于哪种部署模式？
- A.私有云，因为判定依据是仅供一家机构使用，而不是硬件归谁所有✓ 答案
- B.社区云，因为服务商的其他客户共用同一机房和同一支支持团队
- C.混合云，因为公司员工和服务商员工各自管理平台的一部分
- D.公有云，因为该环境由外部服务商而非公司自己建设和运营
私有云的界定标准是仅供单一机构专用；它可以由该机构、由第三方或由双方共同拥有、管理和运营，也可以部署在自有场所内或场所外。认为私有就必须自建自管，正是本题针对的常见误解。
编号 QB-ZP58ZP依据： NIST SP 800-145, The NIST Definition of Cloud Computing (deployment model: private cloud)报告此题的问题
19. 某公司把受监管的记录放在专供自己使用的环境中，把面向公众的市场推广网站运行在共享的服务商平台上，并将两者互联。这样形成的部署模式是什么？
- A.公有云，因为只要有任何负载放在外部服务商，整体就算公有云
- B.社区云，因为该公司与面临相同监管要求的其他机构共用一个平台
- C.混合云，因为两种不同的部署模式各自保留，又被该公司连接在一起✓ 答案
- D.私有云，因为最敏感的那部分负载决定了整体环境的归类方式
混合云是由两种或多种彼此独立的部署组合而成：它们仍是各自独立的实体，但被绑定在一起，使数据和应用可以在其间流转，这正是题中私有加公有的安排。社区云要求有其他机构共用该环境，而单一负载也不会改变整体的归类。
编号 QB-H7BDKQ依据： NIST SP 800-145, The NIST Definition of Cloud Computing (deployment model: hybrid cloud)报告此题的问题
20. 在基础设施即服务、平台即服务和软件即服务中，哪些责任在任何情况下都留在客户一方？
- A.服务商机房内的虚拟化软件、存储阵列以及网络交换设施
- B.数据中心的物理安全，以及存有其记录的故障硬盘的销毁
- C.客户自己的数据、所授予的身份与权限，以及自己所做的配置✓ 答案
- D.运行在服务商虚拟化层之下的宿主机操作系统的补丁工作
划分的界线是“云自身的安全”与“云中的安全”：服务商负责设施、硬件和虚拟化层，客户则始终保留只有它才能决定的部分——自己的数据、授予谁身份及其权限，以及服务如何配置。即使在软件即服务中，其余几乎一切都归服务商，这一不变项依然成立。
编号 QB-47G4VF依据： ISC2 Certified in Cybersecurity Exam Outline, Networking and Cloud Security Concepts — Shared security model — roles and responsibilities; NIST SP 800-144, Guidelines on Security and Privacy in Public Cloud Computing报告此题的问题
21. 在所有服务模式下，哪一项责任都归云服务提供商承担？
- A.对客户的记录进行分级，并决定其中哪些可以对外共享
- B.保障机房设施与硬件的物理安全，并负责虚拟化层✓ 答案
- C.创建客户的用户账户，并定期复核这些账户的权限
- D.设置客户应用的各项选项，以及文件的共享规则
服务商负责客户根本无法触及的那些层次：建筑、供电与物理出入控制、硬件，以及用于隔离租户的虚拟化层。数据分级、账户创建和配置都取决于客户自身的业务判断，因此永远不会转交给服务商。
编号 QB-KPAX9F依据： ISC2 Certified in Cybersecurity Exam Outline, Networking and Cloud Security Concepts — Shared security model; NIST SP 800-144 (division of security responsibilities in public cloud)报告此题的问题
22. 一位高管表示，工作负载一旦迁到服务商那里，公司客户数据发生的任何泄露就完全是服务商的问题了。哪一条原则纠正了这种看法？
- A.问责会随工作负载一并转移，合同使服务商直接对监管机构负责
- B.问责始终留在公司一方，即使具体工作已经委托给服务商执行✓ 答案
- C.问责归属于事发时实际运行出问题组件的那一方，由其承担
- D.问责按合同在双方之间平分，任何违规通报都会同时列出双方
机构可以把安全工作的执行委托给服务商，但无法把问责一并委托出去：它仍要为自己收集的数据、以及对服务商的选择与监督负责。合同与服务水平协议的意义正在于此——界定职责、审计权与救济方式，而不是转移应负的责任。
编号 QB-57UE2H依据： NIST SP 800-144, Guidelines on Security and Privacy in Public Cloud Computing (accountability for outsourced services remains with the organization); ISC2 CC Exam Outline, Networking and Cloud Security Concepts报告此题的问题

本考试的其他主题

安全原则与控制措施类型22 道免费练习题风险、文件层级与职业道德22 道免费练习题治理、风险与合规22 道免费练习题业务连续性、灾难恢复与安全意识22 道免费练习题身份生命周期管理22 道免费练习题逻辑访问控制与模型22 道免费练习题网络安全概念22 道免费练习题数据安全与安全运营22 道免费练习题事件响应、资产与安全测试22 道免费练习题

练习题依据 ISC2《Certified in Cybersecurity (CC) 考试大纲》编写。本网站与 ISC2 无关联，也未获其认可，题目并非真实考题。ISC2 会定期修订知识域及其权重，考试长度、通过标准与报考条件均由其规定——报名前请向 ISC2 确认现行大纲与要求。官方 CC 考试大纲 →

1. 某机构把网络划分为若干独立网段，并对网段之间往来的流量进行过滤。从概念层面看，这种分段主要限制的是什么？

2. 某小公司使用一个扁平网络：所有工作站、服务器、打印机和摄像头都处在同一个网段中，设备之间没有任何过滤。为什么这种做法被认为是危险的？

3. 一名管理员声称，把访客设备放进单独的虚拟局域网就能将其彻底隔离，因此这构成了一道完整的安全边界。以下哪项纠正了这种说法？

4. 某数据中心团队在几乎每一个连接点上都设置过滤策略，使每个工作负载只能与它确实需要的特定负载通信。这属于哪一种理念，针对的又是哪类流量？

5. 某防火墙把接口划分为若干区域——非受信区、屏蔽子网和内部区——并在这些区域之间编写规则。这样组织防火墙背后的原则是什么？

6. 某机构把对外提供服务的服务器放入屏蔽子网（常称为 DMZ，隔离区）。这种设计实现了什么，又刻意避免了什么？

7. 以下哪项最准确地描述了作为设计原则的纵深防御？

8. 某公司的全部安全设计就是一台互联网防火墙：主机没有终端防护，内部没有任何过滤，员工也没有接受过安全培训。以下哪项批评最准确？

9. 一名评审人员指出，某机构的各道防护层全部由技术产品构成。以下哪项补充最能扩展其纵深防御？

10. 零信任方法刻意抛弃的是以下哪一个假设？

11. 在零信任模式下，一位一小时前已完成认证的用户现在请求访问另一个内部应用。该模式要求怎么做？

12. 尽管各机构常常把零信任与微分段一同部署，二者的区别究竟在哪里？

13. 一名开发人员在几分钟内通过服务商的门户增加了额外的存储容量，全程没有与服务商的任何人员联系。这体现了云计算的哪一项基本特征？

14. 多家彼此无关的客户的虚拟机运行在同一批物理主机上，服务商根据需求在它们之间重新分配容量。这属于哪一项基本特征？

15. 员工通过普通的网络连接，从公司笔记本电脑、个人平板和手机上打开同一个托管应用。这描述的是哪一项基本特征？

16. 某开发团队希望自行编写、测试并部署自己的应用，而由服务商提供并维护其下层的操作系统、运行时与硬件。哪一种服务模式最符合？

17. 从基础设施即服务到平台即服务再到软件即服务，客户自行管理的层次所占比重如何变化？

18. 某公司委托一家服务商建设并运营一个仅供该公司使用的云环境，所用硬件不与任何其他客户共享。这属于哪种部署模式？

19. 某公司把受监管的记录放在专供自己使用的环境中，把面向公众的市场推广网站运行在共享的服务商平台上，并将两者互联。这样形成的部署模式是什么？

20. 在基础设施即服务、平台即服务和软件即服务中，哪些责任在任何情况下都留在客户一方？

21. 在所有服务模式下，哪一项责任都归云服务提供商承担？

22. 一位高管表示，工作负载一旦迁到服务商那里，公司客户数据发生的任何泄露就完全是服务商的问题了。哪一条原则纠正了这种看法？

本考试的其他主题