2026年安全开发生命周期专家考试题库（附答案和详细解析）（0113）.docxVIP

安全开发生命周期（SDL）专家考试试卷

一、单项选择题（共10题，每题1分，共10分）

安全开发生命周期（SDL）的核心思想是：

A.在开发后期集中修复安全漏洞

B.将安全活动融入软件开发全流程

C.仅由安全团队负责系统安全

D.依赖第三方工具替代人工审核

答案：B

解析：SDL的核心是“安全左移”，强调将安全需求分析、威胁建模、安全测试等活动嵌入需求、设计、开发等早期阶段，而非后期修补（A错误）；SDL要求全员参与（开发、测试、产品经理等），而非仅安全团队（C错误）；工具是辅助手段，无法替代人工审核（D错误）。

以下哪项是需求阶段的关键安全活动？

A.代码静态分析（SAST）

B.安全需求elicitation（提取）

C.渗透测试（PenetrationTesting）

D.第三方依赖漏洞扫描

答案：B

解析：需求阶段的核心是明确安全需求（如身份认证强度、数据加密要求），即安全需求提取（B正确）；SAST属于开发阶段（A错误），渗透测试属于测试阶段（C错误），第三方依赖扫描属于开发或测试阶段（D错误）。

威胁建模工具STRIDE中，“R”代表的威胁类型是：

A.拒绝服务（DenialofService）

B.抵赖（Repudiation）

C.信息泄露（InformationDisclosure）

D.权限提升（ElevationofPrivilege）

答案：B

解析：STRIDE是威胁分类模型，其中R（Repudiation）指抵赖（如用户否认执行过某操作）（B正确）；拒绝服务是D（DenialofService），信息泄露是I（InformationDisclosure），权限提升是E（ElevationofPrivilege）（A、C、D错误）。

以下哪种安全测试方法属于动态分析（DAST）？

A.源代码漏洞扫描（如SonarQube）

B.运行时接口漏洞探测（如OWASPZAP）

C.内存泄漏检测（如Valgrind）

D.依赖库漏洞扫描（如Snyk）

答案：B

解析：DAST通过模拟攻击探测运行中的系统漏洞（如ZAP扫描网页接口）（B正确）；SAST是静态分析源代码（A错误），内存泄漏检测属于白盒测试（C错误），依赖扫描属于组件分析（D错误）。

SDL中“安全配置管理”的主要目标是：

A.确保生产环境配置符合最小权限原则

B.优化系统性能参数

C.管理开发人员的账号权限

D.记录代码提交日志

答案：A

解析：安全配置管理关注生产环境的安全设置（如禁用默认账户、关闭不必要服务），遵循最小权限原则（A正确）；性能优化属于运维目标（B错误），开发人员权限管理属于身份与访问控制（C错误），代码日志属于版本控制（D错误）。

以下哪项不属于SDL“发布阶段”的安全活动？

A.生成软件物料清单（SBOM）

B.最终安全检查（Pre-releaseAudit）

C.漏洞应急响应计划备案

D.代码提交至版本控制系统（如Git）

答案：D

解析：发布阶段需完成SBOM生成、最终安全审计、应急计划备案（A、B、C正确）；代码提交至Git属于开发阶段的版本控制（D错误）。

安全编码规范（如OWASP编码指南）的核心作用是：

A.替代代码审查

B.减少常见漏洞（如SQL注入、XSS）

C.提升代码运行效率

D.规范代码注释格式

答案：B

解析：安全编码规范通过定义输入验证、输出编码等规则，直接降低注入、跨站脚本等常见漏洞风险（B正确）；无法替代代码审查（A错误），与效率无关（C错误），注释格式是编码规范的次要内容（D错误）。

以下哪项是SDL“维护阶段”的关键活动？

A.威胁建模更新

B.需求变更评审

C.漏洞修复与补丁管理

D.安全架构设计

答案：C

解析：维护阶段需持续监控漏洞（如CVE通报）并发布补丁（C正确）；威胁建模更新可能在设计或测试阶段（A错误），需求变更评审在需求阶段（B错误），架构设计在设计阶段（D错误）。

SDL中“安全培训”的主要对象是：

A.仅安全团队

B.开发、测试、产品经理等全员

C.高层管理人员

D.第三方供应商

答案：B

解析：SDL强调全员安全责任，因此培训需覆盖开发（编写安全代码）、测试（设计安全用例）、产品（定义安全需求）等所有角色（B正确）；仅安全团队或高层无法覆盖全流程（A、C错误），供应商培训属于第三方管理（D错误）。

以下哪种工具用于软件组件漏洞管理？

A.威胁建模工具（如ThreatModeler）

B.依赖扫描工具（如Dependency-Check）

C.动态测试工具（如BurpSuite）

D.静态测试工具（如Checkmarx）

答案：B

解析：依赖扫描工具（如OWASP