2026年安全开发生命周期专家考试题库（附答案和详细解析）（0616）.docxVIP

安全开发生命周期专家

一、单项选择题（共10题，每题1分，共10分）

在安全开发生命周期（SDLC）模型中，哪一阶段最核心的任务是将安全需求转化为具体的安全控制措施和架构设计？A.需求分析阶段B.设计阶段C.编码阶段D.验证阶段答案：B解析：设计阶段是SDLC中将业务需求转化为技术解决方案的关键环节，在此阶段必须明确安全架构、数据流图及具体的防御机制（如加密算法、身份验证流程），以确保安全特性被纳入系统基础架构中，而非仅作为后期修补。

以下哪项技术主要用于在软件开发生命周期的早期阶段检测软件漏洞，而不是在开发完成后进行静态分析？A.静态应用程序安全测试（SAST）B.动态应用程序安全测试（DAST）C.交互式应用程序安全测试（IAST）D.漏洞扫描答案：B解析：SAST是在代码编写完成后，不运行程序而对源代码进行扫描；DAST则是在应用运行时，从外部模拟黑客攻击来发现漏洞（如SQL注入、XSS）。题目要求“早期阶段检测”，DAST通常在开发后集成测试阶段进行。SAST最符合早期代码审查的描述，但若强调“运行时模拟攻击”，DAST是核心区别。

在DevSecOps流程中，“ShiftLeft”（左移）策略的主要目的是什么？A.将安全测试推迟到软件部署的最后一个阶段B.将安全职责和活动尽可能向开发流程的早期阶段转移C.增加安全团队的