2026年安全开发生命周期专家考试题库（附答案和详细解析）（0529）.docxVIP

安全开发生命周期专家

一、单项选择题（共10题，每题1分，共10分）

在安全开发生命周期（SDLC）的初始阶段，主要关注将安全需求转化为具体的技术控制措施，这一阶段通常被称为：A.需求分析B.安全需求定义C.设计D.实施答案：B解析：需求分析阶段主要关注业务逻辑和功能需求；安全需求定义阶段专门负责将安全目标转化为可执行的技术控制指标（如访问控制矩阵、加密算法选择）；设计阶段是架构层面的规划。

下列哪项安全活动不属于SDLC中的“设计阶段”？A.进行威胁建模B.选择加密算法C.编写单元测试用例D.评估安全架构答案：C解析：编写单元测试用例通常属于“实施阶段”或“验证与确认（VV）阶段”的活动；设计阶段主要进行架构设计、威胁建模和安全属性定义。

在代码审查中，下列哪项技术最有助于发现缓冲区溢出漏洞？A.静态分析工具扫描B.动态模糊测试C.人工代码审查关注边界检查D.依赖项检查答案：C解析：静态工具可以检测部分漏洞，但缓冲区溢出涉及复杂的内存操作逻辑，人工代码审查能更敏锐地发现边界条件检查缺失的逻辑错误。

威胁建模中的STRIDE方法中，“Spoofing”指的是：A.篡改B.欺骗C.否认D.信息泄露答案：B解析：STRIDE模型中各字母含义：S-Spoofing（身份欺骗/伪造），T-Tampering（篡