密码策略与账户锁定：防爆破基础设置

secpol.msc 里藏着 Windows 服务器防爆破的第一道闸：密码策略管密码有多难猜，账户锁定策略管猜多少次关门。两项配合起来，字典爆破基本失效。 ## 打开策略管理器 运行框输入 secpol.msc 回车，左侧展开"账户策略"，下面就是密码策略和账户锁定策略两节。改完执行 gpupdate /force 让策略立刻生效，不用重启。 ## 密码策略怎么设 四项建议值：复杂性要求设为"已启用"；长度最小值设 12，别用默认的 7；强制密码历史保留 24 个，防止在两三个旧密码之间来回换；最短密码使用期限设 1 天，堵住"改完马上改回去"的路。策略修改不影响已登录的会话，下次改密时生效。 ## 账户锁定怎么设 三个参数：锁定阈值建议 5 到 10 次——爆破脚本一分钟试几百个密码，5 次锁定足以让它每天只能推进个位数；锁定时间设 15 到 30 分钟；锁定计数器重置时间与之匹配。别设得太狠：阈值 3 次加锁定 24 小时，运维自己手滑输错三次，就得干等一天。 ## 设完对运维的影响 锁定策略不长眼，它不区分攻击者和你自己。三个实际影响提前想好：团队共用同一个管理员账号时，一人输错全员陪锁，尽早改成各用各的账号；远程会话里被锁定，VNC 或云控制台的救援通道要提前确认可用；定时任务里存了旧密码的，密码轮换后会反复触发失败计数，改密码时要连脚本一起过一遍。偏好命令行的用 net accounts 等效配置，例如 net accounts /lockoutthreshold:5 /lockoutduration:30 /lockoutwindow:30。 ## 比锁定更省心的招 锁定是最后防线，主动收缩入口更有效：防火墙对远程桌面端口设来源 IP 白名单，或者直接改端口。入口缩到只有自己碰得到，锁定策略就从日常防线退化成保险丝——平时用不上，出事时保命。 这套设置加起来十分钟，是服务器安全里性价比最高的一笔投入，新机器到手就该做。