2026年安全开发生命周期专家考试题库（附答案和详细解析）（0309）.docxVIP

安全开发生命周期（SDL）专家考试试卷

一、单项选择题（共10题，每题1分，共10分）

安全开发生命周期（SDL）的核心思想是：

A.在开发后期集中进行安全测试

B.将安全融入软件开发的每个阶段

C.仅由安全团队负责系统安全

D.通过部署防火墙保障系统安全

答案：B

解析：SDL强调“安全左移”（ShiftLeft），要求在需求分析、设计、开发、测试、发布、运维等全生命周期阶段融入安全措施，而非后期集中处理（A错误）。安全需全员参与（开发、测试、产品经理等），而非仅安全团队（C错误）。防火墙是运维阶段的防护手段，非SDL核心（D错误）。

以下哪项是威胁建模（ThreatModeling）的标准方法？

A.STRIDE

B.SWOT

C.PDCA

D.KANO

答案：A

解析：STRIDE（欺骗、篡改、否认、信息泄露、拒绝服务、权限提升）是微软提出的威胁分类框架，用于系统化识别威胁（A正确）。SWOT是战略分析工具（B错误），PDCA是质量管理循环（C错误），KANO是需求分类模型（D错误）。

静态代码扫描（SAST）主要用于检测：

A.运行时内存溢出

B.代码中的不安全编码模式

C.网络传输中的数据泄露

D.数据库查询性能问题

答案：B

解析：SAST通过分析未运行的源代码，检测缓冲区溢出、SQL注入等编码缺陷（B正确）。运行时问题由动态测试（DAST）