2025年安全开发生命周期专家考试题库（附答案和详细解析）（1117）.docxVIP

安全开发生命周期（SDL）专家考试试卷

一、单项选择题（共10题，每题1分，共10分）

安全开发生命周期（SDL）的核心思想是：

A.在测试阶段集中解决安全问题

B.将安全活动嵌入软件开发全周期

C.仅由安全团队负责安全保障

D.通过后期漏洞修复降低风险

答案：B

解析：SDL强调“安全左移”，要求在需求、设计、开发、测试等全阶段融入安全活动（如威胁建模、安全编码规范等），而非仅依赖后期修复（排除A、D）。安全责任需开发、测试、安全团队共同承担（排除C）。

以下哪项是威胁建模的经典方法？

A.STRIDE

B.ISO27001

C.OWASPZAP

D.CVSS

答案：A

解析：STRIDE（欺骗、篡改、抵赖、信息泄露、拒绝服务、权限提升）是微软提出的威胁建模方法（正确）。ISO27001是信息安全管理体系标准（排除B），OWASPZAP是渗透测试工具（排除C），CVSS是漏洞评分系统（排除D）。

静态代码分析（SAST）主要用于检测：

A.运行时内存溢出

B.代码中的不安全编码模式

C.网络传输中的数据泄露

D.数据库查询注入攻击

答案：B

解析：SAST通过分析源代码或二进制文件，识别缓冲区溢出、硬编码凭证等静态缺陷（正确）。运行时问题需动态分析（DAST）检测（排除A、D），网络传输问题需流量分析（排除C）。

OWASPTop10的主要作用是：

A.定义安全开发的具体编码规范

B.列出最常见的Web应用安全风险

C.提供漏洞修复的技术方案

D.规范安全测试的流程

答案：B

解析：OWASPTop10每年更新，总结全球最普遍的Web应用安全风险（如注入、身份认证失效等）（正确）。编码规范由OWASPASVS等文档定义（排除A），修复方案需结合具体场景（排除C），测试流程由SDL阶段要求规定（排除D）。

以下哪项属于SDL“设计阶段”的关键活动？

A.编写安全需求文档

B.执行渗透测试

C.进行威胁建模

D.部署漏洞扫描工具

答案：C

解析：设计阶段需通过威胁建模识别系统资产、威胁和脆弱性（正确）。安全需求文档属于需求阶段（排除A），渗透测试属于测试阶段（排除B），工具部署属于开发或维护阶段（排除D）。

漏洞修复的优先级主要依据：

A.CVSS评分与业务影响

B.漏洞发现的时间顺序

C.开发团队的修复能力

D.用户投诉的数量

答案：A

解析：漏洞优先级需结合CVSS（通用漏洞评分）和业务影响（如涉及用户数据的漏洞优先级更高）（正确）。时间顺序、团队能力、用户投诉是次要因素（排除B、C、D）。

依赖项安全管理（SCA）的核心目标是：

A.减少代码行数

B.识别第三方库的已知漏洞

C.优化代码运行效率

D.确保代码开源许可合规

答案：B

解析：SCA（软件成分分析）通过扫描依赖库（如NPM、Maven），检测其中的已知漏洞（如Log4j2的CVE-2021-44228）（正确）。许可合规是附加目标（排除D），减少代码和优化效率与安全无关（排除A、C）。

以下哪项是SDL“发布阶段”的必要活动？

A.编写用户手册

B.最终安全检查（FinalSecurityReview）

C.进行单元测试

D.更新开发环境配置

答案：B

解析：发布前需完成最终安全检查（如确认所有漏洞已修复、应急响应计划就绪）（正确）。用户手册属于文档阶段（排除A），单元测试属于开发阶段（排除C），环境配置更新属于维护阶段（排除D）。

安全需求的主要来源不包括：

A.业务功能需求

B.法律法规（如GDPR）

C.历史漏洞数据

D.开发工具的版本

答案：D

解析：安全需求需从业务（如支付功能的加密需求）、法规（如GDPR的隐私要求）、历史漏洞（如过往SQL注入问题）推导（排除A、B、C）。开发工具版本与安全需求无直接关联（正确）。

以下哪项符合SDL的“责任共担”原则？

A.安全团队独立完成所有安全测试

B.开发人员负责编写安全代码，测试人员负责发现漏洞

C.管理层仅提供资源支持，不参与安全决策

D.用户需自行处理使用中的安全问题

答案：B

解析：SDL要求开发（编写安全代码）、测试（发现漏洞）、安全（提供工具和标准）团队共同承担责任（正确）。独立完成（A）、管理层不参与（C）、用户自行处理（D）均违背责任共担原则。

二、多项选择题（共10题，每题2分，共20分）

以下属于SDL核心原则的有：

A.预防为主（Built-inSecurity）

B.仅在测试阶段关注安全

C.持续改进（ContinuousImprovement）

D.责任共担（SharedResponsibility）

答案：ACD

解析：SDL强调“预防为主”（早期介入）、“持续改进”