2026年安全开发生命周期专家考试题库（附答案和详细解析）（0117）.docxVIP

安全开发生命周期（SDL）专家考试试卷

一、单项选择题（共10题，每题1分，共10分）

安全开发生命周期（SDL）的核心目标是：

A.确保系统通过所有合规性审计

B.在开发过程中持续降低安全风险

C.仅在测试阶段发现并修复漏洞

D.减少安全团队的工作量

答案：B

解析：SDL的核心是通过将安全措施融入开发全流程（需求、设计、开发、测试等阶段），实现风险的早期识别和持续控制。选项A（合规）是SDL的部分目标但非核心；选项C（仅测试阶段）违背“安全左移”原则；选项D（减少工作量）与SDL强调的“全员安全责任”矛盾。

以下哪项属于SDL“需求阶段”的关键活动？

A.代码静态分析（SAST）

B.安全需求规格说明书编写

C.渗透测试

D.漏洞修复优先级排序

答案：B

解析：需求阶段的核心是明确安全需求，编写安全需求规格说明书（SRS）。选项A（SAST）属于开发阶段；选项C（渗透测试）属于测试阶段；选项D（漏洞修复）属于测试或维护阶段。

微软SDL中“攻击面分析”主要应用于哪个阶段？

A.需求分析

B.设计

C.开发

D.部署

答案：B

解析：攻击面分析（如识别系统暴露的接口、权限边界）是设计阶段威胁建模的关键步骤，用于评估潜在攻击路径。其他阶段不涉及系统性的攻击面分析。

以下工具中，属于交互式应用安全测试（IAST）的是：

A.SonarQube（SAST）

B