28. 從 Microsoft 安全性開發週期（Secure Development Life, SDL）的觀點，靜態程式分析（Static Analysis）主要是下列 何項階段的考量？
(A) 需求階段（Requirements）
(B) 設計階段（Design）
(C) 實作階段（Implementation）
(D) 分析階段（Analysis）

在 Microsoft 的安全性開發週期（Secure Development Lifecycle, SDL）中，靜態程式分析（Static Analysis）主要是實作階段（Implementation）的考量。靜態程式分析是指在不執行程式碼的情況下，對源代碼進行檢查，以發現潛在的安全漏洞和編碼錯誤。這種分析通常在程式碼撰寫完成後、程式編譯之前進行，旨在及早發現並修正問題。

靜態程式分析的作用

• 自動化工具檢查：使用靜態分析工具自動檢查源代碼，找出可能的安全漏洞和編碼錯誤，如緩衝區溢出、未經驗證的用戶輸入等。
• 提升代碼品質：透過及早發現和修正問題，靜態分析有助於提高代碼品質，減少後期測試和維護的工作量。
• 確保安全合規：幫助開發團隊確保代碼符合組織的安全標準和最佳實踐。

靜態程式分析在 SDL 中的應用

• 實作階段：開發者在撰寫和修改代碼後，使用靜態分析工具檢查代碼，發現並修正潛在的安全問題。
• 集成到持續集成（CI）流程：將靜態分析工具集成到CI流程中，確保每次代碼變更都會自動進行安全檢查。

因此，靜態程式分析主要是屬於實作階段（Implementation）的考量。

答案

(C) 實作階段（Implementation）