登录失败锁定的作用
登录失败锁定针对管理入口的口令暴力尝试：在统计窗口内失败达到阈值后，临时锁定账号或来源地址。它不能替代密钥认证与双因素，但能显著抬高在线爆破的成本，并把一次爆破变成一条可告警、可追溯的事件。
基本信息
| 策略要素 | 失败次数阈值、统计窗口、锁定时长 |
|---|---|
| 生效对象 | 本地账号（账号维度）与远程登录源（地址维度） |
| 适用平台 | 华为 USG、H3C SecPath、深信服设备，以及 Linux sshd 等系统 |
| 配套措施 | 锁定事件写日志并告警，保留管理员手工解锁通道 |
典型使用场景
- 管理面暴露在可被扫描的网段：先用锁定提高爆破成本，再考虑来源限制
- 等保测评：身份鉴别条款要求具备登录失败处理与会话超时退出能力
- 自动化脚本使用过期口令反复重试：需要先梳理自动化登录来源，避免把自己锁在外面
- 攻击面告警：短时间内多个不同账号连续失败，通常意味着来源在做用户名遍历
- 轮班运维：阈值与解锁流程要写进交接文档，避免交接时段无人能解锁
配置要点
配置要点
1. 失败 5 次锁定 5 分钟，阈值按内部安全基线取值，不建议完全关闭
2. 锁定事件写入日志并送到审计平台，同时触发告警
3. 保留管理员本地解锁通道，防止账号全部被锁后无法登录
4. 定期统计高频失败来源地址，必要时在上游封禁
5. 上线后观察一周误锁情况，再决定是否收紧阈值锁定维度对比
| 维度 | 优点 | 短板 |
|---|---|---|
| 按账号锁定 | 直接保护高权限账号 | 攻击者仍可换用户名继续试探 |
| 按源地址锁定 | 能阻断扫描器整机尝试 | NAT 后多个运维共用地址时容易误锁 |
| 两者结合 | 覆盖面更完整 | 配置与排查复杂度上升 |
阈值过严容易被自动化脚本触发误锁，阈值过宽对爆破几乎没有作用；用一周登录日志先估出正常失败基线，再定阈值和锁定时长。