2025年安全开发生命周期专家考试题库（附答案和详细解析）（0920）.docxVIP

安全开发生命周期（SDL）专家考试试卷

一、单项选择题（共10题，每题1分，共10分）

安全开发生命周期（SDL）的核心思想起源于以下哪个组织的实践？

A.OWASP（开放Web应用安全项目）

B.微软（Microsoft）

C.NIST（美国国家标准与技术研究院）

D.ISC2（国际信息系统安全认证协会）

答案：B

解析：SDL的系统化实践最早由微软于2004年提出，通过《安全开发生命周期》文档正式推广，强调将安全融入软件开发全流程。OWASP主要提供安全指南，NIST侧重标准制定，ISC2聚焦安全认证，均非SDL起源。

威胁建模中常用的“STRIDE”方法，其中“T”代表的威胁类型是？

A.篡改（Tampering）

B.抵赖（Repudiation）

C.信息泄露（InformationDisclosure）

D.拒绝服务（DenialofService）

答案：A

解析：STRIDE是威胁建模的经典方法，各字母对应：S（Spoofing，伪装）、T（Tampering，篡改）、R（Repudiation，抵赖）、I（InformationDisclosure，信息泄露）、D（DenialofService，拒绝服务）、E（ElevationofPrivilege，权限提升）。因此“T”对应篡改。

以下哪项是安全需求分析的主要输入？

A.开发