2025年安全开发生命周期专家考试题库（附答案和详细解析）（1101）.docxVIP

安全开发生命周期（SDL）专家考试试卷

一、单项选择题（共10题，每题1分，共10分）

安全开发生命周期（SDL）的核心思想是：

A.在开发后期集中解决安全问题

B.将安全融入软件开发的每个阶段

C.仅依赖第三方安全工具完成防护

D.由安全团队独立负责所有安全事务

答案：B

解析：SDL的核心是“安全左移”（ShiftLeft），强调从需求分析到运维的全生命周期融入安全实践，而非后期补救（A错误）。SDL需要开发、测试、安全团队协作（D错误），工具是辅助手段（C错误）。

以下哪项是SDL需求阶段的关键活动？

A.代码静态分析（SAST）

B.安全需求规格说明书编写

C.渗透测试（PenetrationTesting）

D.漏洞修复优先级排序

答案：B

解析：需求阶段需明确安全需求（如数据加密等级、身份认证要求），形成安全需求规格说明书（B正确）。SAST和渗透测试属于测试阶段（A、C错误），漏洞修复是发布后阶段（D错误）。

微软SDL框架中，“安全开发生命周期”首次提出的时间是：

A.1995年

B.2004年

C.2010年

D.2018年

答案：B

解析：微软于2004年正式发布SDL框架，作为应对当时频发的软件安全漏洞的系统性方法（B正确）。其他时间为干扰项。

以下哪种工具主要用于动态应用安全测试（DAST）？

A.SonarQube（SAST）

B.OWASPZAP

C.Dependency-Check（SCA）

D.BurpSuite（IAST）

答案：B

解析：DAST通过模拟攻击测试运行中的应用，OWASPZAP是典型DAST工具（B正确）。SonarQube是SAST（A错误），Dependency-Check是软件成分分析（SCA）（C错误），BurpSuite可用于DAST或手动测试，IAST是交互式测试（D错误）。

威胁建模（ThreatModeling）的主要输出是：

A.漏洞修复报告

B.攻击树（AttackTree）

C.安全需求列表

D.风险优先级矩阵

答案：D

解析：威胁建模通过STRIDE（欺骗、篡改、否认、信息泄露、拒绝服务、权限提升）等方法识别威胁，输出风险优先级矩阵（D正确）。攻击树是分析工具（B错误），安全需求在需求阶段输出（C错误）。

以下哪项不属于SDL“部署阶段”的安全活动？

A.配置合规性检查

B.证书生命周期管理

C.漏洞热修复（Hotfix）

D.运行时监控策略制定

答案：C

解析：部署阶段关注环境安全配置（A）、证书管理（B）和监控策略（D），漏洞热修复属于运维阶段（C错误）。

OWASPTop10主要用于指导：

A.安全需求分析

B.威胁建模方法

C.常见漏洞的预防与检测

D.安全编码规范制定

答案：C

解析：OWASPTop10列出了最常见的Web应用安全风险（如SQL注入、XSS），指导测试和修复（C正确）。安全需求分析需结合业务（A错误），威胁建模用STRIDE等方法（B错误）。

以下哪项是SDL“维护阶段”的核心目标？

A.确保初始版本无重大漏洞

B.持续监控并响应新出现的安全风险

C.完成安全需求的最终确认

D.进行代码重构以提升安全性

答案：B

解析：维护阶段需监控运行时安全（如日志分析、入侵检测），并应对新漏洞（如CVE发布后的补丁）（B正确）。初始版本安全在测试阶段保障（A错误）。

安全编码规范（SecureCodingGuidelines）的主要作用是：

A.替代安全测试

B.减少编码阶段引入的漏洞

C.自动化修复代码漏洞

D.确保所有代码符合合规要求

答案：B

解析：规范通过定义安全编码实践（如输入验证、资源释放），从源头减少漏洞（B正确）。无法替代测试（A错误），也不涉及自动化修复（C错误）。

以下哪项属于SDL中的“合规性驱动”原则？

A.定期进行安全培训

B.满足GDPR的数据隐私要求

C.使用开源组件前进行漏洞扫描

D.在设计阶段完成威胁建模

答案：B

解析：合规性驱动要求符合法律法规（如GDPR、PCIDSS）（B正确）。安全培训是人员能力建设（A错误），开源扫描是SCA（C错误），威胁建模是设计阶段活动（D错误）。

二、多项选择题（共10题，每题2分，共20分）

以下属于SDL“设计阶段”关键活动的有：

A.编写安全需求规格说明书

B.绘制数据流图（DFD）

C.实施威胁建模（STRIDE方法）

D.制定安全测试策略

答案：BC

解析：设计阶段需通过DFD（B）明确系统组件交互，并用STRIDE进行威胁建模（C）。安全需求在需求阶段（A错误），测试策略在测试阶段（D错误）。

安全测试的主要类型包括：

A.静态应用安全测试