弱口令治理的落地方法
导语：弱口令是政企被攻破最高频的入口，治理不是贴一张"请设复杂密码"的标语，而是制度+技术+审计三管齐下。
一、为什么要关注（背景与痛点）
大量政企安全事件溯源到最后，都是一句"密码是 admin123 / 单位名+2023"。弱口令之所以顽固，是因为它同时满足"用户图省事"和"系统不拦截"两个条件。某政企单位一台边缘服务器用默认口令，被植入挖矿程序后横向移动，波及多台内网主机。
弱口令治理是等保2.0、密评（GB/T 39786）的明确要求：身份鉴别须具备复杂度策略、失败锁定、定期更换。治理目标不是"人人记 impossibly 长密码"，而是让弱口令在技术上设不进去、在管理上活不下去。
二、核心原理 / 关键概念
- 复杂度策略：长度、大小写、数字、特殊字符组合，并禁用字典词/单位名/生日等易猜片段。
- 失败锁定：连续错误达阈值即锁定并告警，抬高暴力破解成本。
- 定期更换与历史约束：定期改密且不与近期 N 次重复，防止长期使用同一口令。
- 口令字典/爆破检测：用离线字典对内网账号做模拟爆破，主动揪出弱口令，比等出事强。
- 多因子替代记忆：对关键系统用双因子+单点登录，降低对"强记长密码"的依赖。
三、落地做法 / 操作步骤
- 强制复杂度策略：在目录服务/域控与各类系统统一开启：长度≥12、四类字符、禁字典词。
- 失败锁定+告警：设阈值（如 5 次锁 15 分钟）并向安全人员推送告警，识别爆破。
- 主动爆破自查：定期用合规工具对内网做弱口令扫描（示例思路：以常见弱口令字典尝试登录测试账号，仅限授权范围内），导出弱口令清单逐人整改。
- 改默认口令：所有设备出厂默认口令上线前必改，纳入验收检查项。
- 推双因子与 SSO：关键系统接统一认证并启用双因子，减少弱口令暴露面。
- 周期复核：每季度复扫一次，把弱口令数量纳入安全考核。
弱口令治理检查清单
- 全域复杂度策略已强制开启
- 失败锁定与告警已生效
- 做过授权内弱口令扫描并整改
- 所有设备默认口令已改
- 关键系统已上双因子/SSO
四、与群晖NAS / 信创云盘的对应能力
存储与文档层的口令是重灾区，也最该先治：
- 群晖NAS：如 DS425+、DS725+、DS925+ 等型号，可在账户设置中启用密码复杂度、失败锁定与双因子（2FA），并强制管理员改默认口令；结合域认证后可继承单位统一密码策略，对应"身份鉴别达标"。
- 信创云盘：支持对接统一身份认证，在 IdP 侧集中执行复杂度、锁定与双因子，下游文件服务不再各自设弱密码；并能记录异常登录供审计，对应"口令策略统一管"。
- 两类方案把"最容易泄的存储入口"先锁住，是弱口令治理投入产出比最高的环节。
五、常见误区 / 避坑提醒
- 只发通知不改策略：贴标语不强制，用户照样设 123456。
- 复杂度过高反致写纸条：不顾体验把规则推到极端，用户把密码写在显示器边，风险转移而非消除。
- 只查不管：扫出弱口令清单却不跟踪整改，等于做给领导看。
- 忽略设备默认口令：重业务系统、轻网络设备/存储，黑客专挑边缘默认口令打。
- 双因子部署不强制：关键系统装了 2FA 却允许跳过，形同虚设。
六、小结与行动建议
弱口令治理的抓手是"系统拦住 + 主动揪出 + 多因子减负"。先把复杂度与锁定在全域强制，再用授权内爆破扫描把存量弱口令清零，最后用双因子和 SSO 降低对长密码的依赖。建议把"季度弱口令扫描"常态化，让弱口令从"普遍存在"变成"个案即整改"。