2025年安全开发生命周期专家考试题库（附答案和详细解析）（1215）.docxVIP

安全开发生命周期（SDL）专家考试试卷

一、单项选择题（共10题，每题1分，共10分）

安全开发生命周期（SDL）的核心思想是：

A.仅在开发后期进行安全测试

B.将安全活动嵌入软件开发全流程

C.依赖第三方安全公司完成安全保障

D.仅关注代码层面的漏洞修复

答案：B

解析：SDL的核心是“安全左移”，强调将安全需求分析、威胁建模、安全测试等活动贯穿于需求、设计、开发、测试、发布、运维全生命周期，而非仅后期测试（A错误）。安全需开发团队主导，第三方为补充（C错误）。SDL覆盖全流程，不仅代码层（D错误）。

微软SDL框架首次提出的时间是：

A.1998年

B.2004年

C.2010年

D.2016年

答案：B

解析：微软于2004年首次正式发布SDL框架，作为应对当时频繁软件漏洞的系统性解决方案（B正确）。其他时间为干扰项，无历史依据。

在SDL的需求阶段，最核心的安全活动是：

A.代码静态分析（SAST）

B.威胁建模（ThreatModeling）

C.渗透测试（PenetrationTesting）

D.应急响应计划制定

答案：B

解析：需求阶段需明确安全需求，威胁建模通过STRIDE（欺骗、篡改、抵赖、信息泄露、拒绝服务、权限提升）方法识别系统威胁，是需求阶段核心（B正确）。SAST（开发阶段）、渗透测试（测试阶段）、应急响应（运维阶段）均非需