2025年安全开发生命周期专家考试题库（附答案和详细解析）（1031）.docxVIP

安全开发生命周期（SDL）专家考试试卷

一、单项选择题（共10题，每题1分，共10分）

安全开发生命周期（SDL）的核心思想是：

A.仅在开发后期进行安全测试

B.将安全需求嵌入软件开发全流程

C.依赖第三方安全服务替代内部管控

D.优先满足功能需求再处理安全问题

答案：B

解析：SDL的核心是“安全左移”，强调在需求分析、设计、开发、测试等全生命周期阶段融入安全活动，而非后期补救。A错误（后期测试是传统模式）；C错误（第三方服务不能替代内部流程）；D错误（安全需与功能同步规划）。

以下哪项是微软SDL框架中“需求阶段”的关键活动？

A.代码静态分析（SAST）

B.定义安全需求规范（SRS）

C.渗透测试（PenetrationTesting）

D.依赖项漏洞扫描（SCA）

答案：B

解析：需求阶段需明确安全目标，定义安全需求规范（SRS）是核心。A（开发/测试阶段）、C（测试阶段）、D（开发/测试阶段）均属于后续阶段活动。

威胁建模（ThreatModeling）中“STRIDE”方法的“S”代表：

A.Spoofing（伪装）

B.Tampering（篡改）

C.Repudiation（抵赖）

D.InformationDisclosure（信息泄露）

答案：A

解析：STRIDE是威胁分类模型，S=Spoofing（伪装），T=Tampering（篡改），R=Repudiation（抵赖），I=InformationDisclosure（信息泄露），D=DenialofService（拒绝服务），E=ElevationofPrivilege（权限提升）。其他选项对应T、R、I，故A正确。

以下哪项属于动态应用安全测试（DAST）工具？

A.SonarQube

B.OWASPZAP

C.Semgrep

D.Checkmarx

答案：B

解析：DAST通过运行程序检测运行时漏洞（如SQL注入），OWASPZAP是典型DAST工具。A（SonarQube）、C（Semgrep）、D（Checkmarx）均为静态测试（SAST）工具，分析源代码或二进制文件。

安全编码规范中，“输入验证”的主要目的是防止：

A.跨站脚本（XSS）

B.缓冲区溢出

C.权限越界

D.日志泄露

答案：A

解析：输入验证通过过滤非法输入，直接预防XSS、SQL注入等注入类漏洞。B（缓冲区溢出）需内存安全编码；C（权限越界）需访问控制设计；D（日志泄露）需日志脱敏，故A正确。

以下哪项不属于SDL“发布阶段”的关键活动？

A.生成安全文档（如漏洞响应指南）

B.最终安全审计（FinalSecurityReview）

C.依赖项漏洞扫描（SCA）

D.部署前配置检查（如SSL/TLS版本）

答案：C

解析：SCA（软件成分分析）通常在开发或测试阶段进行，用于检测第三方库漏洞。发布阶段需完成文档、最终审计和部署配置检查，故C错误。

国际标准ISO/IEC27034《应用安全》中，SDL的核心支撑是：

A.安全需求工程

B.漏洞赏金计划

C.云原生安全架构

D.渗透测试外包

答案：A

解析：ISO/IEC27034强调以安全需求为驱动的全生命周期管理，安全需求工程是核心。B（漏洞赏金）是补充措施；C（云架构）是技术实现；D（渗透测试）是测试手段，故A正确。

以下哪项是“软件供应链安全”在SDL中的典型实践？

A.在代码提交时运行SAST工具

B.对第三方库进行数字签名验证

C.在测试环境启用日志审计

D.为开发人员提供安全培训

答案：B

解析：软件供应链安全关注第三方组件的可信性，数字签名验证可确保库未被篡改。A（SAST）是代码安全；C（日志审计）是运行时安全；D（安全培训）是人员能力，故B正确。

敏捷开发中实施SDL的关键挑战是：

A.安全活动与快速迭代的时间冲突

B.开发人员拒绝学习安全知识

C.测试环境与生产环境不一致

D.管理层不重视安全投入

答案：A

解析：敏捷强调短周期迭代，安全活动（如威胁建模、测试）需压缩时间，易导致遗漏。B（人员意识）、C（环境差异）、D（管理层）是普遍问题，非敏捷特有关键挑战，故A正确。

以下哪项是“隐私设计（PrivacybyDesign）”在SDL中的具体应用？

A.在数据库中存储明文密码

B.收集用户数据前获得明确授权

C.在日志中记录完整IP地址

D.仅在用户同意后开启Cookies

答案：B

解析：隐私设计要求默认保护隐私，收集数据前获得授权符合“最小必要原则”。A（明文密码）违反安全；C（完整IP）可能泄露隐私；D（Cookies需同意）是GDPR要求，但非“默认隐私”，故B正确。

二、多项选择题（