2026年安全开发生命周期专家考试题库（附答案和详细解析）（0130）.docxVIP

安全开发生命周期（SDL）专家考试试卷

一、单项选择题（共10题，每题1分，共10分）

安全开发生命周期（SDL）的核心方法论最早由哪家企业系统化提出？

A.谷歌（Google）

B.微软（Microsoft）

C.亚马逊（Amazon）

D.OWASP

答案：B

解析：SDL的系统化方法论由微软于2004年首次提出，旨在通过将安全措施融入软件开发全流程降低安全风险。其他选项中，谷歌提出了“软件安全工程”，亚马逊侧重云安全实践，OWASP是安全标准组织，均非SDL起源。

以下哪项是威胁建模中用于分类威胁类型的常用框架？

A.STRIDE

B.PASTA

C.Trike

D.CVSS

答案：A

解析：STRIDE（欺骗、篡改、否认、信息泄露、拒绝服务、权限提升）是经典的威胁分类框架；PASTA和Trike是威胁建模流程方法，CVSS是漏洞评分标准，因此正确答案为A。

静态应用安全测试（SAST）主要用于检测以下哪类问题？

A.运行时内存溢出

B.代码中的缓冲区溢出漏洞

C.用户输入验证缺失

D.会话令牌泄露

答案：B

解析：SAST通过分析源代码或字节码检测静态缺陷（如缓冲区溢出、未参数化查询）；运行时问题（A、D）需动态测试（DAST），输入验证缺失（C）需结合动态验证，因此选B。

安全需求分析的核心依据不包括？

A.业务功能需求

B.历史漏洞数据

C.合规性要求（如GDPR）

D.开发人员编码习惯

答案：D

解析：安全需求需基于业务目标（A）、历史风险（B）和法规（C），开发人员习惯不直接影响安全需求，因此选D。

漏洞修复优先级的主要依据是？

A.漏洞发现时间

B.CVSS评分

C.开发人员空闲时间

D.用户投诉数量

答案：B

解析：CVSS（通用漏洞评分系统）通过基础、时间、环境指标量化漏洞风险，是修复优先级的核心依据；其他选项（时间、人员、投诉）不直接反映风险等级，因此选B。

DevSecOps的核心目标是？

A.增加安全团队的决策权

B.将安全左移至开发早期

C.减少测试阶段的安全投入

D.替代传统SDL流程

答案：B

解析：DevSecOps强调通过自动化工具和协作文化，将安全验证（如测试、扫描）集成到持续集成/持续部署（CI/CD）流程中，实现“安全左移”；其他选项与DevSecOps目标相悖，因此选B。

SDL中“安全设计评审”的关键输出是？

A.测试用例文档

B.威胁模型文档

C.漏洞修复报告

D.用户手册

答案：B

解析：安全设计评审通过威胁建模生成威胁模型文档（包含资产、威胁、缓解措施），是后续开发和测试的指导依据；其他选项属于测试（A）、修复（C）、交付（D）阶段输出，因此选B。

OWASPTop10的主要作用是？

A.规定开发人员编码格式

B.指导安全测试重点方向

C.定义漏洞修复时间窗口

D.评估云服务安全等级

答案：B

解析：OWASPTop10列出了最常见的Web应用安全风险（如注入、访问控制失效），为测试阶段提供重点检测方向；其他选项与OWASPTop10定位无关，因此选B。

以下哪项工具主要用于依赖项安全管理？

A.BurpSuite

B.OWASPZAP

C.OWASPDependency-Check

D.SonarQube

答案：C

解析：Dependency-Check专门扫描项目依赖库（如Java的Maven、Python的PyPI）中的已知漏洞；Burp和ZAP是DAST工具（A、B），SonarQube是代码质量和SAST工具（D），因此选C。

SDL中“安全培训”的核心对象是？

A.仅安全团队成员

B.开发、测试、运维全角色

C.仅高层管理人员

D.仅最终用户

答案：B

解析：SDL要求所有参与软件生命周期的角色（开发、测试、运维）掌握安全知识（如安全编码、漏洞识别），因此选B。

二、多项选择题（共10题，每题2分，共20分）

安全开发生命周期（SDL）的核心阶段包括？

A.安全需求分析

B.安全设计与威胁建模

C.安全编码与开发

D.安全测试与漏洞修复

E.发布后监控与维护

答案：ABCDE

解析：SDL覆盖软件全生命周期，包括需求（A）、设计（B）、开发（C）、测试（D）、发布及维护（E），全选正确。

威胁建模的主要步骤包括？

A.识别系统资产

B.分析威胁场景

C.评估脆弱性

D.制定缓解措施

答案：ABCD

解析：威胁建模流程通常为：资产识别→威胁场景分析→脆弱性评估→风险排序→缓解措施制定（ABCD均为关键步骤）。

安全编码规范应包含以下哪些内容？

A.输入验证与输出编码

B.安全会话管理

C.加密算法选择（如AES-256）

D.日志敏感信息脱敏