2025年安全开发生命周期专家考试题库（附答案和详细解析）（0906）.docxVIP

2025年安全开发生命周期专家考试题库（附答案和详细解析）（0906）

安全开发生命周期专家考试试卷

一、单项选择题（共10题，每题1分，共10分）

1.在安全开发生命周期（SDLC）中，哪一个阶段最适合执行威胁建模以识别潜在安全威胁？

A.需求分析阶段

B.代码编写阶段

C.软件测试阶段

D.部署维护阶段

答案：A

解析：威胁建模应在需求分析阶段进行，因为此时能尽早识别资产并预防设计漏洞。选项B/C/D错误：代码编写和测试阶段无法从源头建模威胁，而部署维护阶段太晚。知识点来源：微软SDL框架强调”早期集成”原则。

哪一项是动态应用程序安全测试（DAST）的主要特征？

A.无需执行代码即可分析

B.模拟攻击者行为对运行应用测试

C.专用于检查源代码静态结构

D.仅适用于设计阶段安全验证

答案：B

解析：DAST在运行时测试应用程序，模拟黑客视角。选项A/C/D错误：A描述静态分析（SAST），C/D混淆测试阶段（DAST适用于测试或部署）。知识点关联：OWASP建议DAST在SDLC测试阶段使用。

安全培训在SDLC中的关键目标是什么？

A.仅确保开发人员掌握加密算法

B.将安全文化融入团队决策流程

C.替代自动化安全工具

D.延迟开发时间以提高安全性

答案：B

解析：安全培训旨在培育安全意识，使其成为团队日常实践。选项A/C/D错误：A过窄（培训包括威胁建模等），C错误（工具不能替代培训），D不正确（培训不必然延迟）。知识点：ISO27034强调人为因素。

在SDLC中，渗透测试（PenTest）通常应在哪个阶段执行？

A.需求分析阶段

B.设计阶段

C.开发编码阶段

D.测试或部署阶段

答案：D

解析：渗透测试模拟攻击，适用于后期（测试或部署）验证防御。选项A/B/C错误：A/B阶段太早无完整系统，C混淆代码审查。知识点：NISTSP800-64规定测试阶段执行。

威胁建模中STRIDE方法主要解决哪种类型风险？

A.网络带宽限制

B.认证与授权缺陷

C.硬件资源不足

D.用户体验问题

答案：B

解析：STRIDE模型涵盖欺骗、篡改等，针对认证/授权漏洞。选项A/C/D错误：不涉及安全威胁核心（如硬件问题非SDLC焦点）。知识点：微软SDL介绍STRIDE用于设计阶段。

静态应用程序安全测试（SAST）的主要优势是什么？

A.测试运行中应用的漏洞

B.无需源代码即可执行

C.在开发早期识别缺陷

D.模拟用户交互测试

答案：C

解析：SAST在编码阶段扫描源代码，及早发现漏洞。选项A/B/D错误：A描述DAST，B混淆（SAST需源代码），D不相关。知识点：OWASPASVS推荐SAST在开发阶段。

SDLC中”安全左移”原则的核心是什么？

A.在后期增加测试频次

B.从早期阶段集成安全

C.专注于运维维护

D.减少安全培训投入

答案：B

解析：安全左移强调在需求/设计阶段嵌入安全，减少后期修复成本。选项A/C/D错误：A非左移原则（应为早期），C/D违背原则。知识点：SAMM模型定义左移原则。

哪一项是代码审查在SDLC中的主要目的？

A.验证用户需求是否准确

B.手工检查源代码安全缺陷

C.模拟网络攻击场景

D.自动执行单元测试

答案：B

解析：代码审查由开发者手动或工具辅助检查代码。选项A/C/D错误：A需求分析阶段目标，C为渗透测试，D混淆自动测试。知识点：ISO27034指定代码审查为开发阶段实践。

在部署阶段，安全配置管理的关键目标是什么？

A.最小化服务器运行时间

B.确保环境设置无默认漏洞

C.取消所有访问控制

D.忽略日志监控

答案：B

解析：安全配置包括禁用默认账户，防止攻击入口。选项A/C/D错误：A不合理，C/D违背基本安全（如访问控制必需）。知识点：NISTSP800-128定义配置管理。

SDLC中事件响应计划的核心目的是什么？

A.仅在测试阶段处理漏洞

B.为安全事故提供恢复流程

C.消除所有安全需求

D.加速代码开发过程

答案：B

解析：事件响应计划确保快速恢复破坏。选项A/C/D错误：A应为全周期覆盖，C/D非响应目标（响应不加速开发）。知识点：GDPR要求SDLC集成响应机制。

二、多项选择题（共10题，每题2分，共20分）

11.在SDLC设计阶段，哪两个方法是常用安全设计原则？（选择所有正确项）

A.深度防御（DefenseinDepth）

B.渗透测试执行

C.最小权限原则（LeastPrivilege）

D.动态代码分析

答案：AC

解析：深度防御和最小权限原则是核心设计原则。选项B/D错误：B为测试阶段方法，D混淆设计工具（应为静态分析）。知识点延伸：微软SDL强调设