登录失败处理缺失
指系统未配置连续错误口令后的锁定或延迟措施，与等保身份鉴别条款中登录失败处理的要求不符，直接把账户暴露在暴力破解之下。整改要覆盖三层：操作系统账户锁定、网络设备失败次数限制、应用系统验证码加失败锁定；同时失败登录日志要留存并纳入监控告警，否则只有拦截能力、没有发现能力。
基本信息
| 条款依据 | GB/T 22239-2019 身份鉴别条款（登录失败处理） |
|---|---|
| 覆盖范围 | 主机、应用、网络设备、数据库管理端口 |
| 关键参数 | 失败阈值、统计窗口、锁定或延迟时长 |
| 日志要求 | 失败登录日志留存，并接入告警 |
| 常见偏差 | 只锁应用不锁主机、只前端提示不后台锁定 |
| 关联条款 | 安全审计、访问控制 |
典型使用场景
- 测评前的登录安全自查与整改
- 公网暴露服务的暴力破解防护
- 应用登录接口的防撞库加固
- 网络设备与数据库管理口失败策略配置
- 事件复盘时从失败登录日志反查攻击来源
整改动作
整改动作
# 操作系统：启用账户锁定与失败计数策略
# 网络设备：配置失败次数限制与静默期
# 应用系统：验证码 + 失败锁定 + 异常告警
# 日志：失败登录日志留存并纳入监控告警
# 验证：用测试账号实测锁定与解锁流程Linux 失败锁定要点
Linux 失败锁定要点
# /etc/security/faillock.conf（RHEL/CentOS 8+ 等）
deny = 5 # 连续失败 5 次锁定
fail_interval = 900 # 统计窗口 15 分钟
unlock_time = 900 # 锁定时长 15 分钟
faillock --user ops01 # 查询账号失败次数与锁定状态
faillock --user ops01 --reset # 管理员手动解锁抽查与判读
| 检查点 | 抽查方式 | 判读口径 |
|---|---|---|
| 主机账户 | 用测试账号连续输错口令 | 达阈值后锁定或延迟，失败记录已留存 |
| 应用登录 | 前端验证码加后台失败计数 | 后台真实锁定，而非仅前端提示 |
| 网络设备 | 登录失败测试或核对配置 | 失败次数限制与静默期生效 |
| 日志告警 | 检索失败登录日志与告警配置 | 失败日志可查、告警可触发 |
锁定策略要评估运维影响：管理员账号被锁会影响应急处置，建议为运维账号设置例外或保留带外登录通道。
应用层的失败计数要在服务端实现，仅靠前端验证码或脚本计数可以绕过，测评时通常要求演示后台真实锁定。