2026年安全开发生命周期专家考试题库（附答案和详细解析）（0808）.docxVIP

安全开发生命周期专家

一、单项选择题（共10题，每题1分，共10分）1.业界首个体系化的安全开发生命周期（SDL）标准框架的提出主体是以下哪个企业？A.谷歌B.微软C.甲骨文D.亚马逊答案：B解析：安全开发生命周期体系最早由微软在2004年正式发布，是适配传统瀑布开发模式的全流程安全管控体系。错误选项说明：谷歌的安全开发体系为依赖自动化扫描的“ZeroTrustDevOps”框架，甲骨文侧重自有商用数据库产品的安全管控规范，亚马逊的安全开发标准内嵌于AWS云服务责任共担体系，三者均不是SDL的最早提出主体。2.按照SDL的标准流程，威胁建模活动的最佳执行时机是以下哪个阶段？A.代码开发阶段B.上线运维阶段C.需求与架构设计阶段D.测试验收阶段答案：C解析：威胁建模需要基于系统架构数据流识别潜在风险，在需求与架构设计阶段介入可以从源头规避架构层面的固有安全缺陷，修复成本仅为上线后修复的1%。错误选项说明：开发阶段做威胁建模会导致大量已编写代码需要重构，上线运维阶段仅能做风险补救，测试阶段的威胁建模无法覆盖架构层面未被测试用例触达的隐性风险。3.以下哪项属于SDL全流程中“动态应用安全测试（DAST）”的核心执行场景？A.对编译前的源代码逐行扫描查找漏洞B.对运行状态的应用系统模拟黑客攻击识别外部可见漏洞C.对开源组件