2026年安全开发生命周期专家考试题库（附答案和详细解析）（0209）.docxVIP

安全开发生命周期（SDL）专家考试试卷

一、单项选择题（共10题，每题1分，共10分）

微软安全开发生命周期（SDL）的起始阶段是以下哪项？

A.设计阶段

B.需求分析阶段

C.开发阶段

D.测试阶段

答案：B

解析：微软SDL明确将“需求分析”作为第一个阶段，强调在项目启动时即识别安全需求（如隐私保护、合规要求），为后续阶段奠定基础。其他选项均为后续阶段，故错误。

威胁建模中常用的STRIDE模型，“S”代表的威胁类型是？

A.欺骗（Spoofing）

B.篡改（Tampering）

C.否认（Repudiation）

D.信息泄露（InformationDisclosure）

答案：A

解析：STRIDE模型中，S（Spoofing）指身份欺骗（如伪造用户凭证），T（Tampering）为数据篡改，R（Repudiation）为抵赖，I（InformationDisclosure）为信息泄露。因此正确答案为A。

静态应用安全测试（SAST）主要用于检测以下哪类问题？

A.运行时资源耗尽

B.代码中的缓冲区溢出漏洞

C.网络传输中的中间人攻击

D.数据库查询性能问题

答案：B

解析：SAST通过分析源代码或字节码检测潜在漏洞（如缓冲区溢出、SQL注入），属于开发阶段的静态检测。A、C为动态测试（DAST）场景，D为性能测试内容，故错误。

安全编码规范的