2025年安全开发生命周期专家考试题库（附答案和详细解析）（1028）.docxVIP

安全开发生命周期（SDL）专家考试试卷

一、单项选择题（共10题，每题1分，共10分）

安全开发生命周期（SDL）的核心原则是？

A.仅在开发阶段关注安全

B.安全需求优先于功能需求

C.安全活动贯穿软件开发全流程

D.依赖第三方组件无需安全审查

答案：C

解析：SDL的核心是“安全左移”，强调安全活动（如需求分析、威胁建模、测试等）需从项目启动（需求阶段）开始，贯穿需求、设计、开发、测试、发布、维护全生命周期。A错误，因SDL要求全流程关注；B错误，安全与功能需平衡而非绝对优先；D错误，第三方组件需进行安全审查（如SBOM管理）。

以下哪项是SDL中“威胁建模”的主要输出？

A.代码覆盖率报告

B.攻击场景与缓解措施

C.性能测试指标

D.用户需求文档

答案：B

解析：威胁建模（如STRIDE方法）的核心是识别系统可能面临的威胁（如假冒、篡改），分析攻击路径，并提出对应的缓解措施（如身份验证、输入校验）。A是测试工具输出；C是性能测试目标；D是需求阶段成果，均非威胁建模输出。

微软SDL（MicrosoftSDL）中，“安全培训”属于哪个阶段的关键活动？

A.需求阶段

B.设计阶段

C.开发阶段

D.发布阶段

答案：C

解析：微软SDL将“安全培训”列为开发阶段的强制活动，要求开发人员掌握安全编码规范（如OWASPTop10防护）。需求阶段关注安全需求收集，设计阶段关注架构安全，发布阶段关注最终安全验证，均不直接包含培训。

以下哪种工具属于SDL测试阶段的“动态应用安全测试（DAST）”工具？

A.SonarQube（SAST）

B.OWASPZAP

C.Dependency-Check（SCA）

D.FortifySCA（SAST）

答案：B

解析：DAST通过模拟攻击动态检测运行中的应用漏洞（如SQL注入、XSS），OWASPZAP是典型DAST工具。SAST（静态分析）工具（A、D）扫描源代码；SCA（软件成分分析）工具（C）检测第三方依赖漏洞，均不属于DAST。

SDL中“安全需求规格说明书（SRS）”的核心内容不包括？

A.数据隐私要求（如GDPR合规）

B.身份认证与授权机制

C.系统性能优化目标

D.异常处理与日志审计要求

答案：C

解析：安全需求规格说明书聚焦安全相关要求，如隐私合规（A）、认证授权（B）、日志审计（D）等；性能优化（C）属于功能/非功能需求，不属于安全需求核心内容。

以下哪项不符合SDL“最小权限原则”的实践？

A.数据库账户仅授予查询权限，无删除权限

B.应用服务以普通用户而非root权限运行

C.管理员账户使用复杂密码并定期轮换

D.所有用户默认拥有系统配置修改权限

答案：D

解析：最小权限原则要求用户/进程仅拥有完成任务所需的最小权限。D中“默认拥有配置修改权限”违反该原则，可能导致越权操作；A、B、C均符合最小权限实践。

OWASPSDL指南中，“安全编码规范”的主要作用是？

A.替代安全测试

B.减少常见编码漏洞（如缓冲区溢出）

C.提高代码运行效率

D.规范代码注释格式

答案：B

解析：安全编码规范（如CWETop25）通过定义安全的编码规则（如输入校验、安全API使用），从源头减少漏洞（如SQL注入、XSS）。A错误，测试不可替代；C是性能优化目标；D是代码规范但非安全核心。

SDL中“发布前安全评审”的重点不包括？

A.所有已知漏洞已修复或风险已评估

B.安全测试报告（如渗透测试）已通过

C.最终用户使用手册的编写进度

D.SBOM（软件物料清单）已完整生成

答案：C

解析：发布前评审关注安全合规性，包括漏洞修复（A）、测试结果（B）、SBOM完整性（D）；用户手册编写（C）属于文档交付，非安全评审重点。

以下哪种场景最符合SDL“缺陷成本指数”理论？

A.需求阶段发现的漏洞修复成本为100元，发布后修复成本为10000元

B.开发阶段代码行数比需求阶段增加50%

C.测试阶段发现的漏洞数量是设计阶段的2倍

D.维护阶段的用户投诉量比发布阶段减少30%

答案：A

解析：缺陷成本指数理论指出，漏洞发现越晚，修复成本越高（如需求阶段修复成本为1，发布后可能达100倍）。A直接体现这一理论；B、C、D与成本无关。

SDL中“安全基线”的主要作用是？

A.定义项目开发的时间节点

B.设定所有阶段必须满足的最低安全要求

C.记录开发团队的安全培训次数

D.统计项目中的代码提交次数

答案：B

解析：安全基线是各阶段必须满足的最低安全标准（如“所有接口必须实现认证”“日志必须记录关键操作”），确保项目安全底线。A是项目管理基线；C、D是过程记录，均非安全基线核心。

二、多项选择题（共10题，每