2026年安全开发生命周期专家考试题库（附答案和详细解析）（0828）.docxVIP

安全开发生命周期专家

一、单项选择题（共10题，每题1分，共10分）1.以下不属于经典微软安全开发生命周期（SDL）预交付阶段核心活动的是A.威胁建模B.模糊测试C.最终安全评审D.安全响应规划答案：D解析：经典微软SDL分为开发前、开发阶段、预交付、交付后四个阶段，威胁建模、模糊测试、最终安全评审都属于预交付阶段的核心安全验证活动，安全响应规划属于交付后阶段的运维保障类活动，不属于预交付范畴。2.SDL流程中，要求定义明确的安全验收准入条件的核心阶段是A.需求分析阶段B.代码开发阶段C.测试上线阶段D.退役下线阶段答案：A解析：安全需求定义是SDL的首个核心管控环节，必须在需求分析阶段就明确安全验收的量化准入标准，避免后续开发测试阶段出现安全要求模糊、无法判定是否达标问题，其余阶段均是执行前期定义的安全准入规则的环节。3.针对运行中业务系统的接口逻辑漏洞进行检测，最适配的SDL测试环节工具是A.静态应用安全测试（SAST）工具B.动态应用安全测试（DAST）工具C.软件成分分析（SCA）工具D.交互式应用安全测试（IAST）工具答案：B解析：DAST工具通过模拟外部攻击流量向运行中的业务系统发送请求，可有效识别接口侧的逻辑漏洞、配置错误类风险；SAST是基于源代码检测，SCA是检测开源组件漏洞，IAST是结合