2025年安全开发生命周期专家考试题库（附答案和详细解析）（1213）.docxVIP

安全开发生命周期（SDL）专家考试试卷

一、单项选择题（共10题，每题1分，共10分）

安全开发生命周期（SDL）的核心目标是：

A.提高软件开发效率

B.预防和减少系统安全漏洞

C.降低软件维护成本

D.提升用户界面友好性

答案：B

解析：SDL的核心是通过在开发全周期中融入安全实践（如需求分析、威胁建模、安全测试等），从源头预防安全漏洞，而非单纯提升效率或降低成本。其他选项偏离了SDL的安全核心目标。

以下哪个阶段是SDL的起始阶段？

A.设计阶段

B.需求阶段

C.开发阶段

D.测试阶段

答案：B

解析：SDL强调“安全左移”，即安全活动需在需求阶段（如收集安全需求、明确合规要求）就启动，而非等到设计或开发阶段。需求阶段是SDL的起点。

STRIDE模型中，“S”代表的威胁类型是：

A.信息泄露（Snooping）

B.欺骗（Spoofing）

C.拒绝服务（ServiceDenial）

D.权限提升（EscalationofPrivilege）

答案：B

解析：STRIDE是威胁建模的经典模型，其中S（Spoofing）指身份欺骗，如伪造用户凭证；A选项是信息泄露（对应I，InformationDisclosure），C是拒绝服务（D），D是权限提升（E）。

以下哪项工具主要用于静态代码安全检测？

A.DAST（动态应用安全测试）

B.SAST（静态应用安全测试）

C.IAST（交互式应用安全测试）

D.SCA（软件成分分析）

答案：B

解析：SAST通过分析未运行的源代码检测漏洞（如缓冲区溢出）；DAST测试运行中的系统（如模拟攻击），IAST结合动态和静态分析，SCA检测第三方库漏洞。

SDL中“安全编码规范”的主要作用是：

A.提高代码运行效率

B.限制开发人员编码自由度

C.减少常见编码漏洞（如注入、XSS）

D.统一团队代码风格

答案：C

解析：安全编码规范（如OWASP编码指南）明确禁止高风险操作（如直接拼接SQL语句），直接减少注入、XSS等常见漏洞；代码风格统一是次要作用，非核心目标。

以下哪项不属于SDL发布阶段的关键活动？

A.最终安全审计

B.漏洞修复验证

C.用户使用培训

D.第三方库漏洞扫描

答案：D

解析：第三方库扫描（SCA）通常在开发或测试阶段完成，发布阶段的核心是确认所有漏洞已修复（审计、验证）并确保用户能安全使用（培训）。

GDPR合规要求在SDL中主要体现在哪个阶段？

A.需求阶段（明确数据保护要求）

B.开发阶段（实现加密功能）

C.测试阶段（验证隐私条款）

D.维护阶段（响应数据删除请求）

答案：A

解析：GDPR要求“设计隐私”（PrivacybyDesign），需在需求阶段明确数据收集范围、存储期限、用户权限等合规要求，后续阶段是具体实现。

以下哪项是SDL“安全运维”阶段的核心任务？

A.编写安全需求文档

B.监控系统运行中的异常行为

C.进行代码静态扫描

D.设计威胁模型

答案：B

解析：运维阶段的核心是持续监控（如日志分析、入侵检测），及时发现并响应安全事件；其他选项属于需求、测试或设计阶段任务。

OWASPTop10主要用于指导SDL中的哪项活动？

A.安全需求分析

B.威胁建模

C.安全测试重点

D.安全培训内容

答案：C

解析：OWASPTop10列出了最常见的Web安全漏洞（如注入、失效的身份认证），直接指导测试阶段需重点检测的漏洞类型。

SDL中“安全培训”的主要对象是：

A.仅安全团队

B.开发、测试、运维全团队

C.仅管理层

D.仅最终用户

答案：B

解析：SDL要求全员参与安全（如开发人员需了解编码规范，测试人员需掌握安全测试方法，运维人员需识别异常），因此培训对象是全团队。

二、多项选择题（共10题，每题2分，共20分）

以下属于SDL“设计阶段”安全活动的有：

A.制定安全编码规范

B.绘制数据流图（DFD）

C.进行STRIDE威胁建模

D.实施SQL注入测试

答案：BC

解析：设计阶段需通过DFD明确系统组件交互，结合STRIDE识别潜在威胁；编码规范制定属于开发阶段前期准备，SQL注入测试属于测试阶段。

以下哪些是SDL中“安全测试”的常用方法？（至少2个正确选项）

A.SAST（静态代码扫描）

B.渗透测试（PenetrationTesting）

C.用户体验测试（UXTesting）

D.SCA（软件成分分析）

答案：ABD

解析：SAST、渗透测试、SCA均为安全测试手段；用户体验测试关注功能易用性，与安全无关。

SDL中“最小权限原则”的应用场景包括：

A.设计用户角色权限（如限制普通用户仅能读取数据）

B.开发