2026年安全开发生命周期专家考试题库（附答案和详细解析）（0305）.docxVIP

安全开发生命周期（SDL）专家考试试卷

一、单项选择题（共10题，每题1分，共10分）

安全开发生命周期（SDL）的核心思想是以下哪项？

A.仅在测试阶段进行安全检查

B.将安全融入软件开发的每个阶段

C.依赖第三方安全工具完成所有防护

D.发布后集中修复安全漏洞

答案：B

解析：SDL的核心是“安全左移”（ShiftLeft），强调从需求分析到运维的全生命周期融入安全活动，而非仅测试或发布后处理（排除A、D）。第三方工具是辅助手段，无法替代全流程安全（排除C）。

微软SDL框架中，“威胁建模”通常在哪个阶段开展？

A.需求分析阶段

B.编码阶段

C.测试阶段

D.发布阶段

答案：A

解析：威胁建模是识别系统潜在威胁的关键活动，需在需求明确后、设计开始前进行（A正确）。编码阶段侧重漏洞修复，测试阶段侧重验证，发布阶段侧重合规检查（排除B、C、D）。

以下哪种工具属于静态代码分析（SAST）？

A.OWASPZAP（动态扫描）

B.SonarQube

C.BurpSuite（代理测试）

D.AppScan（动态扫描）

答案：B

解析：SAST通过分析源代码或字节码检测漏洞（如SonarQube）；动态扫描（DAST）需运行系统（如ZAP、Burp、AppScan），因此B正确，其余为DAST工具。

SDL中“安全需求规格”的主要作用是？

A.定义开发人