2026年安全开发生命周期专家考试题库（附答案和详细解析）（0921）.docxVIP

安全开发生命周期专家

一、单项选择题（共10题，每题1分，共10分）

安全开发生命周期（SDL）的核心目标是在软件开发的哪个阶段引入安全活动，以最大程度降低安全风险？

A.仅在软件测试阶段引入安全活动

B.在软件开发的每一个阶段系统性地引入安全活动

C.仅在软件发布后通过补丁修复安全漏洞

D.仅在需求分析阶段进行安全评审

答案：B

解析：SDL强调“左移”，即在需求、设计、编码、测试、部署等所有阶段嵌入安全活动，而非集中于某一阶段或事后修复。选项A、C、D都将安全活动局限在单一环节，无法实现全生命周期风险控制，违背SDL的基本原则。

在威胁建模中，STRIDE模型主要用于？

A.评估软件的功能完整性

B.识别和分类安全威胁

C.计算软件项目的成本

D.确定软件的用户界面设计

答案：B

解析：STRIDE是微软提出的威胁分类模型，包括欺骗、篡改、否认、信息泄露、拒绝服务和权限提升六类威胁，用于系统化识别安全威胁。选项A、C、D与安全威胁识别无关，不属于STRIDE的用途。

下列哪项属于安全需求分析的输出？

A.源代码

B.安全需求规格说明

C.测试用例

D.用户操作手册

答案：B

解析：安全需求分析阶段将业务目标和安全要求转化为明确、可验证的安全需求，形成安全需求规格说明。源代码是编码阶段的输出，测试用例是测试阶段的产物，用户操作手册是部署与运维阶段的文