2026年安全开发生命周期专家考试题库（附答案和详细解析）（0312）.docxVIP

安全开发生命周期（SDL）专家考试试卷

一、单项选择题（共10题，每题1分，共10分）

安全开发生命周期（SDL）的核心目标是：

A.消除所有安全漏洞

B.降低系统全生命周期的安全风险

C.仅在开发阶段实施安全措施

D.满足合规性要求但忽略实际风险

答案：B

解析：SDL的核心是通过系统化流程管理安全风险，而非消除所有漏洞（A错误，漏洞无法完全消除）；安全措施需贯穿全生命周期（C错误）；合规是手段，降低风险是根本目标（D错误）。

以下哪项属于SDL需求阶段的关键活动？

A.代码静态扫描（SAST）

B.安全需求规格说明书编写

C.渗透测试

D.依赖项漏洞扫描

答案：B

解析：需求阶段需明确安全需求（如隐私保护、认证强度），形成安全需求文档（B正确）；SAST（A）、渗透测试（C）属于测试阶段；依赖项扫描（D）属于开发或测试阶段。

威胁建模（ThreatModeling）的主要工具是：

A.数据流图（DFD）

B.甘特图（GanttChart）

C.用例图（UseCaseDiagram）

D.类图（ClassDiagram）

答案：A

解析：威胁建模通过数据流图识别资产、数据流和潜在威胁点（A正确）；甘特图用于项目进度管理（B），用例图描述功能需求（C），类图用于面向对象设计（D），均非威胁建模核心工具。

OWASPZAP主要用于以下哪种安全测试？