2025年安全开发生命周期专家考试题库（附答案和详细解析）（1005）.docxVIP

安全开发生命周期（SDL）专家考试试卷

一、单项选择题（共10题，每题1分，共10分）

安全开发生命周期（SDL）的起源通常与以下哪家公司直接相关？

A.谷歌（Google）

B.微软（Microsoft）

C.亚马逊（Amazon）

D.甲骨文（Oracle）

答案：B

解析：SDL的概念由微软在2004年正式提出，用于应对其软件产品频繁出现的安全漏洞问题，后续被广泛采纳为行业标准。其他选项公司虽有类似实践，但并非SDL起源。

威胁建模（ThreatModeling）的核心目标是？

A.识别系统中的潜在威胁并评估风险

B.编写安全测试用例

C.生成漏洞修复报告

D.验证安全编码规范

答案：A

解析：威胁建模通过STRIDE等方法，系统地识别资产、威胁主体、攻击路径和潜在影响，核心是风险识别与评估。其他选项属于测试或修复阶段的任务。

以下哪项属于SDL需求阶段的关键活动？

A.编写安全编码规范

B.进行静态代码分析（SAST）

C.定义安全需求（如隐私保护、认证要求）

D.执行渗透测试（PenetrationTesting）

答案：C

解析：需求阶段需明确系统的安全目标和具体需求（如符合GDPR的隐私要求），其他选项分别属于开发、测试阶段的活动。

静态代码分析工具（SAST）主要用于检测？

A.运行时内存泄漏

B.代码中的不安全模式（如SQL注入漏洞）

C.网络传输中的加密缺陷

D.用户界面的易用性问题

答案：B

解析：SAST通过扫描源代码或字节码，检测缓冲区溢出、未经验证的输入等编码缺陷；运行时问题由DAST检测，网络加密由协议分析工具检测。

微软SDL的核心原则是？

A.安全测试优先

B.安全内置（SecuritybyDesign）

C.漏洞修复优先

D.合规性优先

答案：B

解析：微软SDL强调将安全融入开发全流程（需求、设计、开发等），而非仅依赖后期测试，即“安全内置”。其他选项是局部目标。

以下哪项不属于SDL发布阶段的安全活动？

A.最终安全审查（FinalSecurityReview）

B.部署脚本安全性审计

C.用户使用培训

D.漏洞补丁的最终验证

答案：C

解析：发布阶段关注部署前的安全验证（如审查、审计、补丁验证），用户培训属于运维阶段或用户支持范畴。

安全编码规范（SecureCodingGuidelines）的主要目的是？

A.替代安全测试

B.预防常见编码漏洞（如XSS、CSRF）

C.满足合规性要求

D.提高代码运行效率

答案：B

解析：规范通过定义输入验证、加密等最佳实践，从源头减少漏洞，是“预防为主”的核心手段；安全测试不可替代，合规是间接目标。

动态应用安全测试（DAST）的主要特点是？

A.无需运行被测系统

B.直接分析源代码

C.模拟攻击者行为检测运行时漏洞

D.仅适用于开源软件

答案：C

解析：DAST通过向运行中的系统发送测试请求（如模拟SQL注入），检测运行时漏洞；需系统运行，分析的是二进制或接口，与是否开源无关。

漏洞管理流程中，优先级排序的关键依据是？

A.漏洞发现时间

B.漏洞的技术难度（如利用复杂度）

C.漏洞的业务影响（如数据泄露风险）

D.测试人员的主观判断

答案：C

解析：漏洞优先级需结合技术风险（CVSS评分）和业务影响（如涉及用户隐私的系统漏洞优先级更高），而非时间或主观判断。

SDL与DevOps结合的核心目标是？

A.延长开发周期以确保安全

B.在持续交付中嵌入安全活动（安全左移）

C.减少安全测试次数

D.仅由安全团队负责安全

答案：B

解析：DevSecOps强调将安全活动（如自动化扫描、威胁建模）融入CI/CD流程，实现“安全左移”，缩短反馈周期，而非延长周期或推卸责任。

二、多项选择题（共10题，每题2分，共20分）

安全开发生命周期（SDL）通常包含以下哪些阶段？（）

A.需求阶段（Requirements）

B.设计阶段（Design）

C.开发阶段（Implementation）

D.维护阶段（Maintenance）

答案：ABCD

解析：SDL覆盖软件全生命周期，包括需求（定义安全目标）、设计（威胁建模）、开发（安全编码）、测试（安全测试）、发布（最终审查）、维护（漏洞响应）等阶段。

威胁建模的常用方法包括？（）

A.STRIDE（斯瑞德）

B.PASTA（攻击模拟威胁分析）

C.ISO27001（信息安全管理体系）

D.VAST（可视化攻击模拟威胁）

答案：ABD

解析：STRIDE（威胁类型分类）、PASTA（结构化分析）、VAST（可视化方法）是威胁建模专用方法；ISO27001是信息安全管理标准，非具体建模方法。

安