2026年安全开发生命周期专家考试题库（附答案和详细解析）（0829）.docxVIP

安全开发生命周期专家

一、单项选择题（共10题，每题1分，共10分）1.安全开发生命周期（SDL）方法论最早由哪家机构正式提出并推广落地？A.谷歌公司B.微软公司C.亚马逊公司D.IBM公司答案：B解析：微软在2004年正式发布标准化安全开发生命周期框架，将安全活动嵌入软件开发全流程，是全球首个体系化的SDL落地标准。A选项谷歌核心推广的是SRE安全运维体系，C选项亚马逊侧重云原生安全开发规范，D选项IBM的安全开发标准是SAF框架，均不符合题干描述。2.以下哪项活动属于SDL需求分析阶段的核心安全工作？A.源代码自动化审计B.合规性安全需求定义C.二进制模糊测试D.线上漏洞灰度修复答案：B解析：SDL需求阶段需要同步输出符合等保、数据安全法等法规的安全需求条目，作为后续所有开发活动的安全基线。A选项属于编码阶段活动，C选项属于测试阶段活动，D选项属于运维阶段活动，均不属于需求阶段工作。3.威胁建模过程中常用的STRIDE分类体系一共包含多少种攻击类型？A.5种B.6种C.7种D.8种答案：B解析：STRIDE分别代表仿冒身份、篡改数据、否认行为、信息泄露、拒绝服务、权限提升6类攻击场景，是SDL设计阶段的标准威胁分类方法，其他选项的数字均不符合STRIDE的定义。4.以下哪项不属于SDL攻击面削减阶段的常