登录失败处置要查什么
只做“密码错三次锁定”并不能说明防爆破能力合格。完整核查包含五要素：失败阈值、观察窗口（多久内累计）、锁定时长、解锁流程（自助还是管理员介入）、以及失败事件是否进入安全日志与告警。同时要评估误伤成本——阈值过紧会让正常用户频繁被锁，反而制造可用性问题。
基本信息
| 检查点 | 阈值与观察窗口、锁定与解锁、告警联动、误伤控制 |
|---|---|
| 验证方式 | 用测试账号触发阈值（低频），观察提示与后续行为 |
| 适用平台 | Web 登录、SSH/PAM、AD 域策略、App 与 API 认证入口 |
| 平衡目标 | 防爆破 vs 可用性，阈值需与业务场景匹配 |
典型使用场景
- 认证系统上线前的防爆破能力核查
- 安全事件复盘时确认爆破是否被有效拦截
- 排查用户抱怨“频繁被锁”的根因
- 域环境评估中核对账户锁定策略与 PSO 覆盖范围
- 多端登录（Web/App/API）一致性核查
验证步骤
验证步骤
1. 用测试账号连续失败登录，记录达到第几次触发处置、返回提示内容
2. 观察锁定后的行为：直接拒绝、加入延迟、升级为验证码、还是毫无变化
3. 核对安全日志与告警平台是否产生对应事件（含来源 IP 与账号）
4. 验证解锁路径：自助解锁、等待窗口结束、管理员解锁三种方式是否可控
5. 清理测试账号的失败计数与锁定状态，并在报告中注明已恢复策略项与常见差异
| 策略项 | 核查内容 | 常见问题 |
|---|---|---|
| 失败阈值 | 允许的失败次数 | 阈值过高形同虚设 |
| 观察窗口 | 多久内的失败累计生效 | 未定义窗口导致计数永不过期 |
| 锁定时长 | 临时锁定还是永久 | 永久锁定易被滥用为拒绝服务 |
| 解锁流程 | 自助与管理员路径 | 解锁无审计记录 |
| 告警联动 | 阈值告警与来源分析 | 只在日志中留存无告警 |
| 多入口一致 | Web/API/App 是否同策略 | API 入口无锁定机制 |
阈值要按入口区分：面向公网的登录入口通常需要更严格（如 5 次/15 分钟），内网管理面可结合来源限制使用更宽松的策略，避免正常运维被频繁打断。
只使用测试账号触发锁定；对真实账号的任何尝试都会造成账号锁定与用户投诉，若必须验证真实账号，务必提前取得书面同意。