2025年信息系统安全专家DevSecOps安全控制实践专题试卷及解析.pdfVIP

2025年信息系统安全专家DEVSECOPS安全控制实践专题试卷及解析1

2025年信息系统安全专家DevSecOps安全控制实践专题

试卷及解析

2025年信息系统安全专家DevSecOps安全控制实践专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在DevSecOps实践中，以下哪项技术最适合在CI/CD流水线中实现动态应用

安全测试（DAST）？

A、SonarQube静态代码分析

B、OWASPZAP自动化扫描

C、Trivy容器镜像漏洞扫描

D、HashiCorpVault密钥管理

【答案】B

【解析】正确答案是B。OWASPZAP是专门用于动态应用安全测试的工具，可以

在CI/CD流水线中自动化扫描运行中的应用程序。A选项SonarQube是静态代码分

析工具（SAST），C选项Trivy用于容器镜像漏洞扫描，D选项Vault是密钥管理工具，

都不符合DAST的定义。知识点：DAST与SAST的区别。易错点：容易混淆不同安

全测试工具的适