原创力文档- 1、原创力文档（book118）网站文档一经付费（服务费），不意味着购买了该文档的版权，仅供个人/单位学习、研究之用，不得用于商业用途，未经授权，严禁复制、发行、汇编、翻译或者网络传播等，侵权必究。。
- 2、本站所有内容均由合作方或网友上传，本站不对文档的完整性、权威性及其观点立场正确性做任何保证或承诺！文档内容仅供研究参考，付费前请自行鉴别。如您付费，意味着您自己接受本站规则且自行承担风险，本站不退款、不进行额外附加服务；查看《如何避免下载的几个坑》。如果您已付费下载过本站文档，您可以点击 这里二次下载。
- 3、如文档侵犯商业秘密、侵犯著作权、侵犯人身权等，请点击“版权申诉”（推荐），也可以打举报电话：400-050-0827(电话支持时间：9:00-18:30)。
- 4、该文档为VIP文档，如果想要下载，成为VIP会员后，下载免费。
- 5、成为VIP后，下载本文档将扣除1次下载权益。下载后，不支持退款、换文档。如有疑问请联系我们。
- 6、成为VIP后，您将拥有八大权益，权益包括：VIP文档下载权益、阅读免打扰、文档格式转换、高级专利检索、专属身份标志、高级客服、多端互通、版权登记。
- 7、VIP文档为合作方或网友上传，每下载1次， 网站将根据用户上传文档的质量评分、类型等，对文档贡献者给予高额补贴、流量扶持。如果你也想贡献VIP文档。上传文档
安全开发生命周期（SDL）专家考试试卷
一、单项选择题（共10题，每题1分，共10分）
安全开发生命周期（SDL）的核心目标是：
A.在软件发布后通过补丁修复所有安全漏洞
B.在软件开发全周期中融入安全实践，降低安全风险
C.仅在测试阶段开展安全检测以满足合规要求
D.依赖第三方安全工具替代开发团队的安全责任
答案：B
解析：SDL的核心是“全周期安全融入”，强调在需求、设计、开发、测试等各阶段主动实施安全措施（如威胁建模、安全编码规范），而非事后补救（排除A）或仅测试阶段关注（排除C）。开发团队需承担主体责任，第三方工具为辅助（排除D）。
威胁建模（ThreatModeling）通常在SDL的哪个阶段启动？
A.需求分析阶段
B.设计阶段
C.开发阶段
D.发布阶段
答案：A
解析：威胁建模需基于需求阶段明确的系统功能、数据流向和资产信息启动，设计阶段进一步细化（排除B）。开发阶段侧重实现安全控制，发布阶段侧重验证（排除C、D）。
以下哪项属于静态代码分析（SAST）工具的典型功能？
A.模拟用户输入测试SQL注入漏洞
B.扫描代码中硬编码的数据库密码
C.监测运行时内存泄漏
D.分析第三方依赖库的漏洞
答案：B
解析：SAST通过分析源代码/二进制文件检测编码缺陷（如硬编码凭证）；A为动态测试（DAST）功能，C为运行时测试（如Fuzzing），D为软件成分分析（SCA）功能（排除A、C、D）。
OWASPTop102021中“破坏访问控制”漏洞的典型表现是：
A.未对用户输入进行SQL转义
B.会话令牌未使用HTTPS传输
C.用户A可以访问用户B的私有数据
D.错误信息泄露数据库类型
答案：C
解析：访问控制漏洞指未正确限制用户权限（如越权访问）；A为注入漏洞，B为敏感数据泄露，D为安全日志与监控不足（排除A、B、D）。
SDL中“安全需求”的核心来源不包括：
A.业务功能的隐私保护要求（如GDPR）
B.系统架构的性能优化目标
C.历史漏洞的统计分析结果
D.行业合规标准（如PCIDSS）
答案：B
解析：安全需求需基于合规、历史漏洞、业务隐私等，性能优化属于功能需求（排除B）。
以下哪项是SDL中“安全编码规范”的主要作用？
A.替代代码审计工具的检测
B.强制开发人员使用特定编程语言
C.减少常见编码缺陷（如缓冲区溢出）
D.确保所有代码通过单元测试
答案：C
解析：安全编码规范（如CWE防御指南）指导开发人员避免已知风险（如输入验证、资源管理），但无法替代代码审计（排除A），不限制编程语言（排除B），与单元测试无直接关联（排除D）。
软件成分分析（SCA）的主要目的是：
A.检测代码中的逻辑错误
B.识别第三方依赖库的已知漏洞
C.评估系统架构的安全风险
D.验证用户身份认证的强度
答案：B
解析：SCA通过扫描依赖库元数据（如Maven/GitHub依赖），发现CVE等公开漏洞（如Log4j2漏洞）；A为SAST功能，C为威胁建模功能，D为DAST功能（排除A、C、D）。
SDL中“安全验收测试”的关键输出是：
A.威胁模型文档
B.安全测试报告
C.代码覆盖率统计
D.用户使用手册
答案：B
解析：安全验收测试需输出包含漏洞详情、修复建议的报告，作为发布决策依据；A为设计阶段输出，C为单元测试指标，D为用户文档（排除A、C、D）。
以下哪项不属于SDL“维护阶段”的安全活动？
A.监控生产环境的异常访问
B.发布安全补丁修复0day漏洞
C.更新威胁模型以反映系统变更
D.在需求文档中新增安全需求
答案：D
解析：维护阶段关注运行时安全（监控、补丁）和变更管理（更新威胁模型）；新增安全需求属于需求阶段（排除D）。
SDL“风险分级”的主要依据是：
A.开发团队的技术水平
B.漏洞的利用难度与影响范围
C.项目的预算规模
D.用户的反馈数量
答案：B
解析：风险分级需结合漏洞的可利用性（如是否需要认证）和影响（如数据泄露范围）；其他选项与风险无直接关联（排除A、C、D）。
二、多项选择题（共10题，每题2分，共20分）（每题至少2个正确选项）
以下属于SDL“需求阶段”安全活动的有：
A.收集隐私保护合规要求（如CCPA）
B.开展威胁建模并识别资产
C.编写安全编码规范文档
D.制定第三方依赖的安全标准
答案：ABD
解析：需求阶段需明确安全需求（合规、资产）、制定依赖标准；安全编码规范属于开发阶段（排除C）。
OWASPSDL最佳实践（SDLPractices）包括以下哪些内容？
A.强制所有开发人员参加安全培训
B.在代码提交前进行静态扫描
C.仅对高风险项目开展威胁建模
D.发布前进行渗透测试
文档评论（0）