2026年安全开发生命周期专家考试题库（附答案和详细解析）（0807）.docxVIP

安全开发生命周期专家

一、单项选择题（共10题，每题1分，共10分）1.现代安全开发生命周期（SDL）方法论最早由哪家机构正式提出并落地推广？A.谷歌公司B.微软公司C.国际标准化组织D.中国信息安全测评中心答案：B解析：微软在2004年正式推出安全开发生命周期方法论，将安全要求嵌入软件开发全流程，是SDL领域的公认源头。选项A谷歌的安全开发体系是后续基于SDL延伸的安卓安全规范，选项CISO仅发布SDL相关配套标准而非提出者，选项D中国信安测评中心是国内SDL落地的推广方，均不符合要求。2.以下哪项活动属于SDL需求阶段的核心安全工作？A.对源代码进行批量漏洞扫描B.对系统架构开展STRIDE威胁建模C.定义产品需要满足的等保2.0合规要求D.对上线前的系统执行渗透测试答案：C解析：明确合规要求属于需求阶段的安全需求定义环节。选项A属于编码阶段的活动，选项B属于设计阶段的活动，选项D属于测试阶段的活动，均不符合要求。3.STRIDE威胁建模框架中，字母S对应的威胁类型是？A.仿冒身份B.篡改数据C.否认操作D.信息泄露答案：A解析：STRIDE框架中S代表Spoofing（仿冒身份），T对应篡改，R对应否认操作，I对应信息泄露，选项B、C、D均为其他字母对应的威胁类型。4.静态应用安全测试（SAST）工