2025年安全开发生命周期专家考试题库（附答案和详细解析）（0917）.docxVIP

安全开发生命周期（SDL）专家考试试卷

一、单项选择题（共10题，每题1分，共10分）

安全开发生命周期（SDL）的核心原则是：

A.后期集中进行安全测试

B.安全左移（ShiftLeft）

C.仅依赖第三方安全服务

D.优先保证功能交付再修复漏洞

答案：B

解析：SDL的核心是“安全左移”，即从需求阶段开始融入安全活动，而非后期补救。A错误，因SDL强调全周期安全；C错误，SDL要求自建安全能力；D错误，SDL要求安全与功能同步。

以下哪项是SDL需求阶段的关键活动？

A.静态代码分析（SAST）

B.安全需求规格说明书（SRS）编写

C.渗透测试（PenetrationTesting）

D.漏洞修复优先级排序

答案：B

解析：需求阶段需明确安全需求（如数据保护等级、认证要求），形成SRS。A属于开发阶段；C属于测试阶段；D属于漏洞管理阶段。

威胁建模（ThreatModeling）的主要输出是：

A.代码扫描报告

B.威胁列表与缓解措施

C.合规性检查清单

D.性能测试指标

答案：B

解析：威胁建模通过STRIDE等方法识别资产面临的威胁（如篡改、否认），并提出缓解方案。A是SAST输出；C是合规审计输出；D是性能测试目标。

以下工具中，属于动态代码分析（DAST）的是：

A.SonarQube

B.OWASPZAP

C.FindBugs

D.Checkmarx

答案：B

解析：DAST通过运行系统检测漏洞（如SQL注入），ZAP是典型工具。A/C/D均为SAST工具（静态分析代码）。

SDL中“安全配置管理”主要针对：

A.开发人员代码风格

B.生产环境参数（如数据库密码）

C.测试用例设计

D.需求文档版本

答案：B

解析：安全配置管理关注生产环境的最小权限配置（如关闭不必要端口、加密敏感参数），避免因配置错误导致漏洞。其他选项与配置无关。

根据OWASPSDL指南，“安全培训”应覆盖的对象是：

A.仅安全团队

B.开发、测试、运维全角色

C.仅高层管理者

D.仅最终用户

答案：B

解析：SDL要求全员安全意识，开发需掌握安全编码，测试需设计安全用例，运维需配置安全环境。A/C/D覆盖范围不全。

以下哪项是SDL发布阶段的关键活动？

A.安全需求评审

B.漏洞修复验证

C.应急响应计划备案

D.威胁建模更新

答案：C

解析：发布阶段需确保上线后可快速响应安全事件，因此需备案应急计划。A是需求阶段；B是测试阶段；D是设计阶段。

PCIDSS合规要求主要影响SDL的哪个阶段？

A.设计阶段（如支付流程设计）

B.退役阶段（如数据销毁）

C.运维阶段（如日志留存）

D.以上均是

答案：D

解析：PCIDSS（支付卡行业标准）要求全周期合规：设计阶段需加密传输（如TLS1.2+），运维阶段需保留日志1年，退役阶段需安全销毁持卡人数据。

以下哪项不属于SDL“安全验证”的范畴？

A.代码审查

B.渗透测试

C.威胁建模

D.模糊测试（Fuzzing）

答案：C

解析：安全验证是确认漏洞是否存在的活动（如测试、审查），而威胁建模是识别潜在威胁的预防活动。其他选项均为验证手段。

SDL中“漏洞修复成本曲线”反映的核心规律是：

A.漏洞发现越晚，修复成本越低

B.漏洞发现越早，修复成本越低

C.修复成本与发现时间无关

D.修复成本仅取决于漏洞类型

答案：B

解析：研究表明，需求阶段修复漏洞成本是生产环境的1/100，因此SDL强调早期发现（左移）。A与规律相反；C/D忽略时间因素。

二、多项选择题（共10题，每题2分，共20分）

以下属于SDL核心目标的是：

A.预防安全漏洞的引入

B.降低漏洞修复的总体成本

C.满足合规性要求（如GDPR）

D.提高开发团队编码速度

答案：ABC

解析：SDL目标包括预防（左移）、降本（早期修复）、合规（如数据隐私）。D错误，SDL可能短期影响速度，但长期提升质量。

威胁建模的常用方法包括：

A.STRIDE（斯瑞德）

B.PASTA（攻击模拟威胁分析）

C.OWASPZAP

D.Trike（三元威胁建模）

答案：ABD

解析：STRIDE（威胁类型分类）、PASTA（结构化分析）、Trike（资产驱动）是主流方法。C是扫描工具，非建模方法。

SDL开发阶段的安全实践包括：

A.使用安全编码规范（如CERTC++指南）

B.实施依赖项漏洞扫描（如OWASPDependency-Check）

C.编写单元测试时覆盖安全用例

D.生成系统架构图

答案：ABC

解析：开发阶段需编码规范（A）、检查第三方库漏洞（B）、测试安全逻辑（C）。D是设计阶段活动（绘制数据流图）。

以下属于S