| 步骤 | 策略核查→抽样验证→告警验证 |
|---|---|
| 原则 | 低频、限量、报备；成功即停并走整改 |
| 产出 | 策略执行现状与整改建议 |
自查要点
自查要点
1. 核对口令策略配置（长度/复杂度/历史/锁定）
2. 用测试账号验证策略在服务端强制执行
3. 抽样 1-2 个非关键系统做低频验证（按需授权）
4. 核对失败登录告警与锁定日志是否产生不在授权外使用口令字典对真实系统跑量；任何验证须与系统负责人共同确认窗口。
弱口令自查方法
弱口令自查以“策略核查 + 低频抽样验证 + 检测覆盖”为主：验证策略是否被强制、锁定是否生效、异常登录是否告警。
易错点
- 把策略文档当执行证据，未做服务端验证
- 低频验证未清理测试数据与失败记录
数据来源与参考
- NIST SP 800-63B
- CIS Benchmarks（口令策略类）