2026年安全开发生命周期专家考试题库（附答案和详细解析）（0614）.docxVIP

安全开发生命周期专家

一、单项选择题（共10题，每题1分，共10分）

在安全开发生命周期（SDLC）的需求分析阶段，安全团队最首要的任务是识别哪些资产需要保护以及潜在的威胁，这通常被称为：A.资产分类与标记B.威胁建模C.合规性审计D.用户验收测试答案：B解析：威胁建模是SDLC早期识别潜在攻击面和关键资产的关键步骤，旨在从攻击者的角度思考系统可能存在的漏洞。

下列关于安全左移的说法中，错误的是：A.安全左移是指将安全活动尽可能提前到软件开发的早期阶段B.安全左移可以显著降低后期修复漏洞的成本C.安全左移意味着在编码阶段完全不进行安全测试，完全依赖自动化工具D.安全左移强调安全是整个开发团队的责任，而非仅是安全团队的事答案：C解析：安全左移并不意味着在编码阶段完全不进行安全测试，而是指在需求、设计、编码等早期阶段就引入安全控制措施，结合自动化扫描和人工审查，而非完全依赖后期工具。

在设计阶段，为了防止输入验证失败，设计人员应采用哪种防御策略作为第一道防线？A.安全默认值B.防御性编程C.白名单机制D.黑名单机制答案：C解析：白名单机制是防止输入验证失败的最佳实践，它只允许预定义的、可信任的数据进入系统，而黑名单机制容易因漏报而导致安全漏洞。

DevSecOps的核心目标是将安全融入DevOps流程，以下哪项实践最不