2026年安全开发生命周期专家考试题库（附答案和详细解析）（0204）.docxVIP

安全开发生命周期（SDL）专家考试试卷

一、单项选择题（共10题，每题1分，共10分）

微软安全开发生命周期（SDL）首次发布于哪一年？

A.2001年

B.2004年

C.2007年

D.2010年

答案：B

解析：微软于2004年首次发布SDL，旨在通过系统化流程降低软件安全风险。A选项为早期安全实践萌芽期，C、D为后续优化版本时间，故正确答案为B。

威胁建模方法STRIDE中，“I”代表的威胁类型是？

A.信息泄露（InformationDisclosure）

B.中间人攻击（Man-in-the-Middle）

C.篡改（Tampering）

D.否认（Repudiation）

答案：C

解析：STRIDE的六类威胁为：假冒（Spoofing）、篡改（Tampering）、否认（Repudiation）、信息泄露（InformationDisclosure）、拒绝服务（DenialofService）、权限提升（ElevationofPrivilege）。因此“I”对应篡改（Tampering），选C。

以下哪种工具属于静态应用安全测试（SAST）？

A.OWASPZAP

B.Veracode

C.BurpSuite

D.AppScan

答案：B

解析：SAST通过分析源代码/二进制代码检测漏洞（如缓冲区溢出），Veracode是典型