这一类问题在说什么
弱口令与口令策略缺失是等级测评里最常见的「不符合」之一：管理员口令用简单数字组合、出厂默认口令长期不换，或者系统根本没配置复杂度、长度与更换周期。对应的是身份鉴别要求中「鉴别信息应具有复杂度要求并定期更换」这一条。它的整改特点是技术动作简单但覆盖面要求广，网络设备、主机、数据库、应用后台都要一起改，漏掉任何一类都会被判不符合。
基本信息
| 对应条款 | 身份鉴别：鉴别信息复杂度、定期更换、登录失败处理 |
|---|---|
| 典型表现 | 123456、admin888、admin/admin、出厂默认口令长期不换 |
| 排查对象 | 网络与安全设备、操作系统、数据库、中间件、应用后台、带外管理口 |
| 整改方向 | 口令策略（长度与复杂度）+ 有效期 + 历史口令限制 + 失败锁定 + 定期弱口令扫描 |
| 验证方式 | 策略配置演示 + 弱口令扫描报告 + 现场抽查登录测试 |
高频命中位置
- 网络设备与安全设备：出厂口令未改，或改成了设备型号加年份这类可猜组合
- 操作系统：root、administrator 长期使用同一口令，未配置失败锁定
- 数据库：sa、root 等高权账号口令简单，且允许远程任意地址登录
- 中间件与应用后台：Tomcat 管理页、监控平台、堡垒机自身默认账号
- 带外管理：IPMI、iDRAC、iLO 的默认口令常被忽略但同样可登录主机
分层策略基线
| 层级 | 策略要点 | 落地位置 |
|---|---|---|
| 网络与安全设备 | 长度不少于 8 位、含大小写字母与数字、定期更换 | 本地用户或统一认证源 |
| 操作系统 | 复杂度与历史口令限制、失败锁定、会话超时 | 口令策略与登录策略 |
| 数据库 | 高权账号口令策略、限制登录来源地址 | 账号管理与网络访问控制 |
| 应用后台 | 强制改初始口令、支持两步验证 | 应用用户管理模块 |
| 带外管理 | 默认口令必改、限制管理网段访问 | BMC 管理界面 |
整改动作序列
整改动作序列
# 1 统一策略：把长度、复杂度、有效期、历史口令限制写成可执行标准
# 2 分类执行：网络设备 / 主机 / 数据库 / 应用逐类下发并留配置截图
# 3 弱口令扫描：每季度或更短周期全量扫描，输出账号清单
# 4 处置闭环：发现弱口令立即改密，并追查是谁在何时设置的
# 5 留痕：扫描报告、改密记录、复扫结果三份材料归档典型使用场景
- 测评前自查：先扫一遍弱口令，成本最低但最容易拿分
- 新设备上线：把改默认口令写进上线检查单，避免带病入网
- 外包与离职管理：账号回收与口令轮换一起做，防止共享口令长期有效
- 统一身份认证建设：用集中认证源下发策略，减少逐台配置的遗漏
Linux 侧落地要点：口令复杂度由 PAM 的口令质量模块控制，账号有效期与最短使用期由 chage 控制，历史口令限制在 PAM 配置中设定；改完必须用一个测试账号验证策略真的生效，而不是只看配置文件。
强制高强度口令与定期更换会带来写便签、共享账号等反向行为，条件允许时优先推行密钥认证或统一身份认证加多因素，减少口令本身的攻击面。