网络安全等级保护：账户锁定政策

介绍

账户锁定政策

当您打开“本地安全设置”对话框时，选项不限于设置密码策略。还可以设置账户锁定策略。这些策略确定用户在被锁定之前可以尝试登录的次数以及锁定的时间。Windows的默认设置如表 3所示。

这些默认策略并不安全。从本质上讲，它们允许无限次的登录尝试，使密码破解者的使用变得非常容易，并且几乎保证有人最终会破解一个或多个密码并访问您的系统。表 4提供了Microsoft、国家安全局和作者的建议。

表 3 Windows 默认账户锁定策略设置

政策	默认设置
账户锁定时长	没有定义的
账户锁定阈值	0 次无效登录尝试
之后重置账户锁定计数器	没有定义的

表 4建议的账户锁定策略

政策	微软	美国国家安全局	作者
账户锁定时长	0，无限期	15小时	48小时。如果有人试图在周末/节假日破解密码，您希望锁定账户，直到管理员发现该尝试为止。
账户锁定阈值	5 次尝试	3 次尝试	3 次尝试
之后重置账户	15分钟	30分钟	30分钟

---

原文始发于微信公众号（河南等级保护测评）：网络安全等级保护：账户锁定政策