2026年安全开发生命周期专家考试题库（附答案和详细解析）（0815）.docxVIP

安全开发生命周期专家

一、单项选择题（共10题，每题1分，共10分）1.以下不属于微软官方定义安全开发生命周期（SDL）核心阶段的是A.需求阶段安全活动B.运维阶段遗留数据强制销毁C.验证阶段安全测试D.发布阶段安全响应预案制定答案：B解析：微软SDL标准涵盖需求、设计、实现、验证、发布、响应6个核心阶段，A、C、D均属于SDL明确要求的阶段内容；B选项属于IT运维阶段的常规数据处置操作，未纳入SDL的标准核心流程范畴。2.经典STRIDE威胁建模框架中，字母R对应的威胁类型是A.身份仿冒B.篡改数据C.抵赖D.信息泄露答案：C解析：STRIDE六个字母分别对应S=仿冒、T=篡改、R=抵赖、I=信息泄露、D=拒绝服务、E=权限提升，因此R对应抵赖威胁，其余选项对应其他字母的威胁类型。3.安全开发生命周期中，静态应用安全测试（SAST）的最佳执行时机是A.代码开发完成后、提交测试前B.产品上线后用户量小于1000人时C.需求评审阶段D.线上漏洞应急修复阶段答案：A解析：SAST基于源代码做白盒扫描，在开发完成提交测试前执行可以第一时间定位代码层安全缺陷，大幅降低修复成本；其余选项场景要么不具备扫描条件，要么修复成本远高于开发阶段。4.以下哪项属于SDL设计阶段输出的核心交付物A.软件需求说明书B.威胁