2026年安全开发生命周期专家考试题库（附答案和详细解析）（0820）.docxVIP

安全开发生命周期专家

一、单项选择题（共10题，每题1分，共10分）1.以下属于传统安全开发生命周期（SDL）区别于常规开发流程的核心前置管控活动是A.迭代结束后开展客户需求回访B.编码前完成开发人员安全编码培训C.上线后执行服务器性能巡检D.运维阶段开展业务功能可用性验证答案：B解析：SDL的核心特征是将安全管控前置到开发全流程，编码前的安全培训属于SDL专属的前置安全活动；选项A属于项目收尾常规活动，选项C、D属于运维阶段常规运维操作，均不属于SDL专属管控动作。2.微软SDL定义的威胁建模常用STRIDE方法论中，字母S对应的安全威胁类型是A.否认威胁B.信息泄露威胁C.仿冒身份威胁D.权限提升威胁答案：C解析：STRIDE模型中S为Spoofing（仿冒身份），R为Tampering（篡改数据）、I为Repudiation（否认）、D为InformationDisclosure（信息泄露）、D为DenialofService（拒绝服务）、E为ElevationofPrivilege（权限提升），其余选项对应其他字母的威胁定义。3.以下工具类型中，属于静态应用安全测试（SAST）核心工具范畴的是A.运行时漏洞扫描工具B.源码安全规则审计工具C.业务逻辑模糊测试工具D.黑盒渗透测试工具答案：B解析