2025年安全开发生命周期专家考试题库（附答案和详细解析）（1223）.docxVIP

安全开发生命周期（SDL）专家考试试卷

一、单项选择题（共10题，每题1分，共10分）

微软首次正式提出安全开发生命周期（SDL）的时间是？

A.1998年

B.2004年

C.2010年

D.2015年

答案：B

解析：微软于2004年在《SecurityDevelopmentLifecycle》文档中首次系统提出SDL框架，旨在通过流程化方法将安全融入软件开发全周期。其他时间为干扰项，无历史依据。

威胁建模（ThreatModeling）的核心目标是？

A.识别系统中的所有技术漏洞

B.评估攻击者可能利用的路径及潜在影响

C.生成详细的代码审计报告

D.确保符合ISO27001合规要求

答案：B

解析：威胁建模的核心是通过STRIDE（欺骗、篡改、抵赖、信息泄露、拒绝服务、权限提升）等方法，分析系统资产面临的威胁路径及影响，而非直接识别漏洞（漏洞检测是测试阶段任务）。选项A混淆了威胁建模与漏洞扫描的目标；C是代码审计的输出；D是合规性检查的目标。

以下哪项属于SDL“需求阶段”的关键活动？

A.执行静态代码分析（SAST）

B.定义安全需求规格（SRS）

C.开展渗透测试（PenetrationTesting）

D.发布漏洞修复补丁

答案：B

解析：需求阶段的核心是明确系统的安全需求（如认证强度、数据加密要求等），形成安全需求规格文档（SRS）。SAST（A）和渗透测试（C）属于测试阶段；漏洞修复（D）属于维护阶段。

静态代码分析（SAST）主要用于检测以下哪类问题？

A.运行时资源泄漏

B.代码逻辑中的不安全模式（如SQL注入）

C.第三方库的已知漏洞

D.用户输入验证缺失的动态行为

答案：B

解析：SAST通过扫描源代码或字节码，检测代码中潜在的不安全模式（如未经验证的用户输入拼接SQL语句）。运行时问题（A）由动态分析（DAST）检测；第三方库漏洞（C）由软件成分分析（SCA）检测；动态行为（D）需结合运行时数据（如IAST）。

SDL强调“安全左移”的本质是？

A.在开发后期集中解决安全问题

B.将安全活动提前到需求和设计阶段

C.仅由安全团队负责全流程安全

D.减少安全测试的时间和成本

答案：B

解析：“安全左移”指将安全活动（如需求分析、威胁建模）提前至开发早期，避免后期修复漏洞的高成本。A是传统开发模式的缺陷；C违背SDL“全员参与”原则；D是结果而非本质。

以下哪项不属于OWASPTop10（2021）中的常见漏洞类型？

A.失效的身份认证（BrokenAuthentication）

B.不安全的反序列化（InsecureDeserialization）

C.内存溢出（BufferOverflow）

D.安全配置错误（SecurityMisconfiguration）

答案：C

解析：OWASPTop10（2021）包含注入、失效的身份认证、敏感数据泄露等10类，内存溢出（C）属于CWE（通用弱点枚举）中的低层级漏洞，未直接列入Top10。

软件成分分析（SCA）的主要作用是？

A.检测代码中的语法错误

B.识别第三方依赖库的已知漏洞

C.评估系统的可用性指标

D.验证用户权限分配的合理性

答案：B

解析：SCA通过扫描项目依赖的开源库、商业库，结合漏洞数据库（如CVE）识别已知漏洞（如Log4j2.x的RCE漏洞）。语法错误（A）由编译器或IDE检测；可用性（C）是性能测试范畴；权限验证（D）是访问控制测试内容。

SDL中“发布阶段”的关键活动是？

A.编写安全编码规范

B.执行最终安全检查（如合规性审计）

C.开展威胁建模工作坊

D.记录漏洞修复的详细过程

答案：B

解析：发布阶段需确保系统满足所有安全需求，包括合规性审计（如GDPR数据保护要求）、最终漏洞扫描等。安全编码规范（A）是开发阶段的输入；威胁建模（C）是设计阶段活动；漏洞记录（D）是维护阶段任务。

以下哪种工具属于交互式应用安全测试（IAST）？

A.SonarQube（SAST）

B.BurpSuite（DAST）

C.ContrastSecurity

D.Dependency-Check（SCA）

答案：C

解析：IAST通过在应用运行时插入探针，结合静态和动态分析（如监控用户输入到数据库查询的数据流），实时检测漏洞（如XSS）。SonarQube（A）是SAST工具；BurpSuite（B）是DAST工具；Dependency-Check（D）是SCA工具。

以下哪项是SDL中“维护阶段”的核心目标？

A.确保初始版本无安全漏洞

B.持续监控运行时安全事件并快速响应

C.完成所有安全测试报告

D.定义下一代系统的安全需求