2026年物联网终端安全加固人员培训考核题库解析

2026年物联网终端安全加固人员培训考核题库解析一、单项选择题（每题2分，共40分）1.物联网终端设备默认口令带来的最大安全风险是？A.设备运行效率降低B.攻击者可利用公开的默认凭据直接接管设备C.设备功耗增加D.影响设备保修服务2.下列哪项属于物联网终端安全加固中的“最小化服务”原则？A.开启设备全部网络端口以便远程调试B.关闭设备上不必要的Telnet、FTP等服务C.使用root权限运行所有应用D.保持出厂默认配置不变3.针对资源受限的物联网终端（如NB-IoT传感器节点），最适合的数据加密算法类型是？A.RSA-2048B.AES-128等轻量级对称加密算法C.SHA-512D.ECC-P5214.物联网终端固件升级过程中，为防止固件被篡改，必须对固件包进行？A.压缩打包B.数字签名验证C.分片传输D.版本回滚5.我国《网络安全法》规定，物联网设备运营者收集使用个人信息应当遵循的原则是？A.最大化收集原则B.合法、正当、必要原则C.事后告知原则D.有偿收集原则6.MQTT协议默认使用哪个端口进行非加密通信？A.1883B.8883C.80D.4437.物联网终端的身份认证中，“一机一密”指的是？A.所有设备共用一个密钥B.每台设备预置独立的设备级密钥C.每次通信更换密钥D.密钥由用户自行设置8.下列哪项措施可以有效防范物联网终端被物理拆解提取密钥？A.提高设备外壳美观度B.采用安全芯片存储密钥并支持防篡改检测C.增加设备重量D.密钥明文打印在电路板上9.物联网终端日志审计的主要目的是？A.占用存储空间B.事后追溯安全事件、发现异常行为C.提升设备性能D.降低网络流量10.关于物联网终端的端口加固，正确做法是？A.开放所有端口便于管理B.遵循最小开放原则，仅开放业务必需端口并配置访问控制C.使用高端口号代替知名端口即可视为安全D.端口开放情况无需记录11.CoAP协议基于的传输层协议是？A.TCPB.UDPC.HTTPD.SCTP12.下列哪种攻击方式主要通过伪造海量请求耗尽物联网终端资源？A.社会工程学攻击B.DDoS攻击C.钓鱼攻击D.窃听攻击13.物联网终端固件安全基线中，“禁止调试接口外露”通常是指？A.关闭或加密封锁JTAG、UART等物理调试口B.删除设备说明书C.隐藏设备型号D.禁用Wi-Fi功能14.密钥全生命周期管理不包括以下哪个阶段？A.密钥生成B.密钥分发C.密钥广告宣传D.密钥销毁15.物联网终端安全漏洞的修复优先级首先取决于？A.漏洞所属厂商知名度B.漏洞的可利用性与影响范围C.漏洞发现的时间早晚D.漏洞编号的大小16.使用TLS保护物联网通信时，服务器身份验证依赖的是？A.对称密钥B.数字证书C.MAC地址D.设备序列号17.关于物联网终端的远程管理通道，最安全的做法是？A.通过公网开放Telnet管理B.通过VPN或加密专线通道，结合双因素认证访问管理接口C.管理密码统一为123456便于记忆D.管理接口对所有IP段开放18.国密算法中，用于数据加密的算法是？A.SM2B.SM3C.SM4D.SM919.物联网终端在遭受入侵后，应急处置的第一步通常是？A.直接恢复出厂设置B.隔离受感染终端，防止威胁横向扩散C.继续运行观察D.立即删除所有日志20.下列哪项不属于物联网终端安全加固的常规技术手段？A.固件签名与安全启动B.最小权限原则配置C.定期更换弱口令并禁用默认账户D.向无关第三方开放设备全部接口二、判断题（每题2分，共20分）1.物联网终端只要部署在内网，就无需进行任何安全加固。2.安全启动机制可确保终端设备只运行经过厂商签名验证的固件。3.使用HTTPS传输数据后，终端设备自身仍需进行安全加固。4.为方便运维，物联网终端的SSH远程管理可长期保持root直接登录且不限制来源IP。5.物联网设备漏洞信息应当在内部分级通报，高危漏洞应及时修复或采取缓解措施。6.密钥硬编码在固件中是一种安全且推荐的密钥存储方式。7.对物联网终端进行固件升级前，应先在测试环境验证升级包的兼容性与完整性。8.DTLS是运行在TCP之上的安全协议。9.物联网终端安全事件处置完成后，应编写事件报告并进行复盘，完善防护策略。10.设备报废时只需物理丢弃，无需对存储介质中的敏感数据进行清除。三、简答题（每题8分，共24分）1.简述物联网终端安全加固中口令管理的四项基本要求。2.简述物联网终端固件安全升级应满足的流程要点。3.简述物联网终端上线前安全检测应包含的主要内容。四、案例分析题（每题16分，共16分）1.某公司部署了2000台智能摄像头用于园区监控，运行半年后接到通报：大量该型号摄像头被植入恶意程序，加入了僵尸网络对外发起DDoS攻击。经排查发现：摄像头全部使用出厂默认口令admin/admin；设备23端口（Telnet）对外网开放；固件为一年前版本，存在已知远程代码执行漏洞；设备日志功能处于关闭状态。问题：(1)分析本次安全事件中摄像头存在的安全缺陷（6分）；(2)提出针对性的安全加固整改方案（6分）；(3)为防止类似事件再次发生，提出长效管理建议（4分）。参考答案与解析一、单项选择题1.答案：B解析：默认口令通常在设备手册或厂商公开资料中可查，Mirai僵尸网络正是利用默认弱口令大规模感染物联网终端。安全加固第一步即强制修改默认口令。2.答案：B3.答案：B解析：受限于终端的CPU算力、内存与功耗预算，应优先选择计算开销小的对称加密算法（AES-128或国密SM4），非对称算法主要用于身份认证与密钥协商环节。4.答案：B5.答案：B6.答案：A解析：1883为MQTT明文端口，8883为MQTToverTLS端口。安全加固要求生产环境禁用1883，统一走8883加密通道。7.答案：B8.答案：B9.答案：B10.答案：B11.答案：B解析：CoAP运行在UDP之上，配合DTLS实现安全传输（coaps://），这与基于TCP的HTTPS有本质区别。12.答案：B13.答案：A14.答案：C15.答案：B解析：应结合CVSS评分及实际业务暴露面综合评估，可被远程利用且影响面广的高危漏洞（如可导致RCE）优先级最高。16.答案：B17.答案：B18.答案：C解析：SM2为椭圆曲线公钥算法，SM3为杂凑算法，SM4为分组对称加密算法，SM9为标识密码算法。19.答案：B解析：应先隔离并保留现场证据（日志、内存快照），删除日志会破坏取证链条；直接恢复出厂设置会销毁入侵痕迹，不利于溯源分析。20.答案：D二、判断题1.答案：错误解析：内网环境同样面临横向渗透、内部人员误操作等风险，纵深防御要求所有终端落实基本加固措施。2.答案：正确3.答案：正确解析：传输加密仅解决链路安全，无法防御设备自身的弱口令、漏洞利用、物理攻击等风险。4.答案：错误5.答案：正确6.答案：错误解析：固件可被逆向提取，硬编码密钥一旦泄露将波及所有同型号设备，应使用安全芯片或可信执行环境存储密钥。7.答案：正确8.答案：错误解析：DTLS基于UDP，为UDP通信提供类似TLS的安全保护。9.答案：正确10.答案：错误解析：报废终端的存储介质中可能残留密钥、配置与用户数据，必须执行安全擦除或物理销毁。三、简答题1.答案：(1)强制修改出厂默认口令，禁止使用空口令和弱口令；(2)口令复杂度满足要求，长度不少于8位，包含大小写字母、数字和特殊字符；(3)定期更换口令，建议周期不超过90天；(4)禁止多台设备共用同一口令，实行“一机一密”，口令加密存储，不得明文记录。2.答案：(1)升级包由厂商使用私钥进行数字签名；(2)终端在安装前验证签名与完整性校验值（如SHA-256摘要）；(3)升级过程支持断点续传与失败回滚，防止设备变砖；(4)升级通道采用加密传输（如HTTPS/TLS）；(5)升级前在测试环境验证兼容性，生产环境分批灰度推送并监控升级结果。3.答案：(1)弱口令与默认配置检查：确认默认口令已修改、无关服务已关闭；(2)漏洞扫描：检测已知CVE漏洞与开放端口；(3)通信安全检查：确认采用加密协议传输与双向认证；(4)固件完整性检查：验证固件签名与版本合规性；(5)日志与审计功能验证：确认日志可正常采集并上报；(6)安全基线核查：逐项比对终端安全基线配置要求。四、案例分析题答案：(1)安全缺陷分析：①使用默认弱口令，攻击者可轻易登录设备；②Telnet明文管理端口对外网开放，缺乏访问控制，攻击面暴露；③固件长期未更新，已知RCE漏洞未修复；④日志功能关闭，无法记录攻击行为，丧失检测与溯源能力。(2)加固整改方案：①立即批量修改设备口令，实施强口令策略与“一机一密”；②关闭Telnet，改用SSH/HTTPS加密管理通道，并通过防火墙限制管理接口仅允许运维网段访问；③升