2025年信息系统安全专家威胁建模在DevSecOps中的实践专题试卷及解析.docxVIP

2025年信息系统安全专家威胁建模在DevSecOps中的实践专题试卷及解析

2025年信息系统安全专家威胁建模在DevSecOps中的实践专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在DevSecOps流程中，威胁建模最适宜在哪个阶段引入？

A、部署阶段

B、编码阶段

C、设计阶段

D、测试阶段

【答案】C

【解析】正确答案是C。威胁建模应在设计阶段引入，因为此时系统架构尚未固化，修改成本最低。A选项部署阶段过晚，B选项编码阶段部分设计已确定，D选项测试阶段只能发现问题而难以预防。知识点：威胁建模生命周期。易错点：容易误选编码阶段，认为与开发结合更紧密。

2、STRIDE威胁建模方法中，T代表哪种威胁类型？

A、欺骗

B、篡改

C、否认

D、信息泄露

【答案】B

【解析】正确答案是B。STRIDE中T代表Tampering（篡改）。A是Spoofing，C是Repudiation，D是InformationDisclosure。知识点：STRIDE威胁分类法。易错点：容易混淆Denial和Repudiation的缩写。

3、在DevSecOps中，威胁建模的主要输出物通常不包括？

A、威胁树

B、安全需求

C、代码覆盖率报告

D、缓解措施清单

【答案】C

【解析】正确答案是C。代码覆盖率报告是测试阶段的输出物，与威胁建模无关。A、B、D都是威胁建模的标准输出。知识点：威胁建模交付物。易错点：可能误认为所有安全相关文档都是威胁建模输出。

4、PASTA威胁建模方法论主要关注？

A、技术实现细节

B、业务风险驱动

C、合规性检查

D、性能优化

【答案】B

【解析】正确答案是B。PASTA是业务风险驱动的威胁建模方法。A是技术导向，C是合规导向，D与安全无关。知识点：威胁建模方法论对比。易错点：容易混淆PASTA和DREAD的技术侧重点。

5、在DevSecOps管道中，威胁建模的自动化工具通常集成在？

A、CI/CD流水线

B、监控系统

C、日志分析平台

D、容器编排系统

【答案】A

【解析】正确答案是A。威胁建模自动化工具应集成在CI/CD流水线中实现持续安全。B、C、D属于运维阶段工具。知识点：DevSecOps工具链集成。易错点：可能误选容器编排系统，因为与DevOps相关。

6、威胁建模中攻击面分析主要关注？

A、系统漏洞数量

B、潜在入侵点

C、安全配置检查

D、加密算法强度

【答案】B

【解析】正确答案是B。攻击面分析关注系统暴露的潜在入侵点。A是漏洞管理，C是配置管理，D是密码学范畴。知识点：攻击面分析概念。易错点：容易混淆攻击面和漏洞的概念。

7、在敏捷开发中，威胁建模的最佳实践是？

A、每个冲刺都进行

B、仅项目开始时做一次

C、项目结束时补做

D、按需进行

【答案】A

【解析】正确答案是A。敏捷开发中威胁建模应每个冲刺迭代进行。B、C不符合敏捷原则，D过于被动。知识点：敏捷威胁建模实践。易错点：可能误选按需进行，认为更灵活。

8、威胁建模中数据流图(DFD)的主要作用是？

A、展示代码结构

B、描述系统交互

C、分析数据流向

D、记录测试用例

【答案】C

【解析】正确答案是C。DFD用于分析数据流向和交互点。A是架构图作用，B是序列图作用，D是测试文档作用。知识点：威胁建模图示化方法。易错点：容易混淆DFD和架构图的功能。

9、在DevSecOps中，威胁建模与安全测试的关系是？

A、替代关系

B、互补关系

C、竞争关系

D、独立关系

【答案】B

【解析】正确答案是B。威胁建模和安全测试是互补的，前者预防，后者验证。A、C、D都不符合实际。知识点：安全活动协同关系。易错点：可能误认为威胁建模可以替代安全测试。

10、威胁建模中信任边界通常指？

A、网络防火墙位置

B、不同安全域的交界

C、用户权限级别

D、加密通信通道

【答案】B

【解析】正确答案是B。信任边界是不同安全域的交界处。A是具体设备，C是权限概念，D是通信机制。知识点：信任边界概念。易错点：容易混淆信任边界和物理边界的概念。

第二部分：多项选择题（共10题，每题2分）

1、威胁建模在DevSecOps中的主要价值包括？

A、早期发现设计缺陷

B、降低修复成本

C、提高团队安全意识

D、替代所有安全测试

E、加快开发速度

【答案】A、B、C

【解析】A、B、C都是威胁建模的核心价值。D错误，威胁建模不能替代安全测试；E错误，初期可能略微影响速度但长期有益。知识点：威胁建模价值评估。易错点：可能误选E，认为安全活动都会拖慢开发。

2、常见的威胁建模方法论包括？

A、STRIDE

B、PASTA

C、OWASPASVS

D、LINDDUN

E、DREAD

【答案】A、B、D、E

【解析】A、B、D、E都是标准威胁建模方法论。C是