2026年安全开发生命周期专家考试题库（附答案和详细解析）（0922）.docxVIP

安全开发生命周期专家

一、单项选择题（共10题，每题1分，共10分）

在安全开发生命周期（SDL）中，安全需求分析通常应在哪个阶段完成？

A.需求分析阶段

B.设计阶段

C.编码阶段

D.测试阶段

答案：A

解析：安全需求分析是SDL的起点，应在需求分析阶段明确安全目标、合规要求和潜在威胁，确保后续设计、编码和测试有据可依。设计阶段侧重安全架构和威胁建模，编码阶段侧重安全编码规范，测试阶段侧重安全验证，均非安全需求定义的首选阶段。

威胁建模（ThreatModeling）最常用的方法之一是STRIDE模型，其中“R”代表什么？

A.拒绝服务（DenialofService）

B.权限提升（ElevationofPrivilege）

C.信息泄露（InformationDisclosure）

D.篡改（Tampering）

答案：C

解析：STRIDE由Spoofing（仿冒）、Tampering（篡改）、Repudiation（抵赖）、InformationDisclosure（信息泄露）、DenialofService（拒绝服务）、ElevationofPrivilege（权限提升）组成。R代表InformationDisclosure，即信息泄露。

以下哪种工具最适宜在代码提交阶段自动发现常见安全漏洞？

A.静态应用安全测试（SAST）