2025年安全开发生命周期专家考试题库（附答案和详细解析）（1003）.docxVIP

安全开发生命周期（SDL）专家考试试卷

一、单项选择题（共10题，每题1分，共10分）

安全开发生命周期（SDL）的核心目标是？

A.降低软件开发成本

B.在软件发布后修复安全漏洞

C.全生命周期内预防和减少安全风险

D.提高软件功能完整性

答案：C

解析：SDL的核心是通过在软件开发的每个阶段（需求、设计、开发、测试等）融入安全实践，从源头预防风险，而非事后补救或单纯降低成本（A错误）、发布后修复（B错误）或功能完整性（D错误）。

以下哪项是SDL需求阶段的关键活动？

A.代码静态分析（SAST）

B.编写安全需求规格说明书

C.渗透测试

D.漏洞修复优先级排序

答案：B

解析：需求阶段需明确安全需求，编写安全需求规格说明书是核心（B正确）。SAST（A）和渗透测试（C）属于测试阶段，漏洞修复（D）属于发布前或维护阶段。

威胁建模的常用方法“STRIDE”中，“I”代表？

A.信息泄露（InformationDisclosure）

B.中间人攻击（Interception）

C.仿冒（Impersonation）

D.篡改（Tampering）

答案：C

解析：STRIDE的完整含义是：Spoofing（仿冒）、Tampering（篡改）、Repudiation（抵赖）、InformationDisclosure（信息泄露）、DenialofService（拒绝服务）、ElevationofPrivilege（权限提升）。因此“I”对应仿冒（C正确），信息泄露对应“I”是常见误解（A错误）。

以下哪种工具属于动态应用安全测试（DAST）？

A.SonarQube（SAST）

B.OWASPZAP

C.Dependency-Check（SCA）

D.CodeQL（SAST）

答案：B

解析：DAST通过运行应用程序检测运行时漏洞，OWASPZAP是典型的动态扫描工具（B正确）。SonarQube（A）、CodeQL（D）是静态测试（SAST），Dependency-Check（C）是软件成分分析（SCA）。

SDL中“安全基线”的主要作用是？

A.定义开发团队的绩效考核标准

B.为各阶段设置最低安全要求

C.记录历史漏洞修复时间

D.确定软件发布后的维护周期

答案：B

解析：安全基线是各阶段必须满足的最低安全要求（如需求阶段需完成威胁建模、开发阶段需通过SAST扫描），确保过程合规（B正确）。其他选项与安全基线无关（A、C、D错误）。

以下哪项不属于SDL“持续改进”原则的实践？

A.定期评审安全活动的有效性

B.收集历史漏洞数据并分析趋势

C.在发布阶段才进行安全测试

D.根据行业标准更新安全需求

答案：C

解析：持续改进要求全周期优化安全实践，发布阶段才测试属于“事后补救”（C错误），不符合持续改进。A、B、D均通过数据驱动优化流程，属于持续改进。

软件发布阶段SDL的关键活动是？

A.编写用户手册

B.生成安全配置指南

C.进行单元测试

D.确定开发工具版本

答案：B

解析：发布阶段需提供安全部署文档（如安全配置指南），确保用户正确部署（B正确）。单元测试（C）属于开发阶段，用户手册（A）和工具版本（D）与安全无直接关联。

以下哪项是SDL中“责任共担”原则的体现？

A.仅由安全团队负责漏洞修复

B.开发、测试、安全团队共同参与威胁建模

C.产品经理单独制定安全需求

D.运维团队独立完成部署安全检查

答案：B

解析：责任共担要求跨角色协作（如开发、测试、安全团队共同参与威胁建模），避免单一团队负责（B正确）。A、C、D均体现单一团队主导，违背共担原则。

关于SDL与传统开发流程的区别，正确的是？

A.SDL仅在测试阶段增加安全活动

B.传统流程更强调安全需求的早期明确

C.SDL将安全融入每个开发阶段

D.传统流程包含威胁建模环节

答案：C

解析：SDL的核心是“全生命周期融入安全”（C正确）。传统流程通常在后期才关注安全（A错误），不强调早期安全需求（B错误），也不包含威胁建模（D错误）。

以下哪种场景最需要SDL？

A.内部使用的简单工具

B.处理用户敏感数据的金融系统

C.开源社区的实验性项目

D.短期交付的演示类应用

答案：B

解析：处理敏感数据（如金融系统）的高风险场景对安全性要求极高，需SDL全周期保障（B正确）。其他场景风险较低，对SDL需求较弱（A、C、D错误）。

二、多项选择题（共10题，每题2分，共20分）

以下属于SDL核心原则的有？

A.安全左移（ShiftLeft）

B.事后补救（FixLater）

C.持续改进（ContinuousImprovement）

D.责任共担（Shared