2026年安全开发生命周期专家考试题库（附答案和详细解析）（0215）.docxVIP

安全开发生命周期（SDL）专家考试试卷

一、单项选择题（共10题，每题1分，共10分）

安全开发生命周期（SDL）的核心目标是：

A.降低开发成本

B.在开发后期集中修复漏洞

C.从源头减少安全风险，构建安全的软件

D.满足合规性要求但不关注实际安全

答案：C

解析：SDL的核心是通过在软件开发全周期（需求、设计、开发、测试、部署等）中融入安全实践，从源头预防风险，而非后期补救（排除B）。降低成本（A）和合规（D）是衍生目标，非核心。

以下哪项是微软SDL（MicrosoftSDL）的关键实践之一？

A.在发布前仅进行一次安全测试

B.威胁建模（ThreatModeling）

C.忽略第三方库的安全审查

D.由开发人员单独负责安全

答案：B

解析：微软SDL明确将威胁建模作为核心实践（B正确）。A错误，因SDL要求持续测试；C错误，第三方库审查是SDL的依赖管理要求；D错误，SDL强调跨角色协作（开发、测试、安全团队）。

威胁建模的STRIDE模型中，“I”代表：

A.信息泄露（InformationDisclosure）

B.篡改（Tampering）

C.否认（Repudiation）

D.身份仿冒（Impersonation）

答案：A

解析：STRIDE模型包含：Spoofing（仿冒）、Tampering（篡改）、Repudiation（否认