弱口令自查是什么
弱口令自查的产物不是“猜中了哪个密码”，而是一份口令策略执行现状。检查面覆盖 Web 登录、SSH、数据库、中间件控制台、网络设备与域账户：既核对策略配置（长度、复杂度、历史、有效期、锁定阈值），也验证策略在服务端是否真的被强制执行，最后确认失败登录是否进入日志与告警。
基本信息
| 适用平台 | Linux（PAM）、Windows/AD、网络设备、Web 与数据库 |
|---|---|
| 验证方式 | 策略配置核查 + 测试账号低频抽样 + 日志告警核对 |
| 权限要求 | 只读审计权限，配置导出需管理员协助 |
| 前置条件 | 书面授权、测试账号、验证窗口与停测条件 |
典型使用场景
- 新系统上线前核查口令策略是否被默认值放行
- 合规检查中提供“策略已强制执行”的证据
- 接管陌生系统时先判断认证面的强弱
- 安全事件复盘时确认爆破是否被锁定与告警拦住
- 出整改清单时区分“策略缺失”和“策略未生效”两类问题
策略核查示例（Linux）
策略核查示例（Linux）
cat /etc/security/pwquality.conf # 口令长度与复杂度要求（RHEL 系）
grep -E 'pam_faillock|pam_pwquality' /etc/pam.d/system-auth # 失败锁定与质量模块是否接入
faillock --user testuser # 查看失败计数与锁定状态（RHEL 8 及以上）
chage -l testuser # 口令有效期实际生效值（非默认值）策略项与检查点
| 策略项 | 期望配置 | 证据来源 |
|---|---|---|
| 最小长度 | 按业务定级，常见 8-12 位以上 | pwquality 配置 / 域策略导出 |
| 复杂度 | 字符类别要求或纯长度要求 | 同左 |
| 历史口令 | 禁止复用最近若干次口令 | PAM 或域策略参数 |
| 失败锁定 | 阈值、观察窗口、锁定时长三者齐全 | faillock / 域锁定策略 |
| 告警联动 | 失败登录进入日志与告警平台 | syslog、安全日志、SIEM |
NIST SP 800-63B 的方向是长度优先、不再强制周期性换口令、改为校验泄露口令黑名单；与旧基线冲突的条目要在报告里写明取舍理由，避免整改方两头为难。
针对真实账号的失败尝试会触发锁定并影响业务：只用测试账号，验证后清理失败计数与测试痕迹，并在报告中注明已恢复。