Windows 用户策略配置与合规检查

等保2.0三级要求Windows账户策略必须覆盖密码强度、防暴力破解、登录可控三大核心：密码最小长度≥8位（建议10–12位）、最长使用期≤90天、锁定阈值5次、锁定时间与重置计数器均设为30分钟，且需留痕可验证。

Windows 用户策略配置不是简单勾选几项就能过关的事，关键在于策略逻辑自洽、生效范围明确、且留有可验证痕迹。等保2.0三级要求下，账户策略必须覆盖密码强度、防暴力破解、登录过程可控三大核心，缺一不可。

密码策略：不止“启用复杂性”就够

仅开启“密码必须符合复杂性要求”远远不够。等保明确要求：

1. 最小长度≥8位（建议设为10–12位，PowerShell可查：Get-ItemProperty "HKLM:SYSTEMCurrentControlSetControlLsa" | Select-Object MinPwdLength）
2. 最短使用期限≥1天（防止用户改完立刻再改，绕过历史记录）
3. 最长使用期限≤90天（0代表永不过期，直接不合规）
4. 强制历史记录≥5个（避免重复使用旧密码）

注意：这些设置只对新设或重置密码生效，已有弱密码不会自动失效，需配合账号审计手动清理。

账户锁定策略：三个参数必须联动

账户锁定阈值、锁定时间、重置计数器三者必须逻辑一致，否则策略形同虚设：

1. 锁定阈值建议设为5次（低于5次易被绕过，高于10次可能误伤正常用户）
2. 锁定时间≥15分钟（太短起不到防护作用；建议30分钟）
3. 重置计数器时间必须等于锁定时间（如设为30分钟，则30分钟内累计5次失败才锁）

修改后可通过net accounts /domain（域环境）或net accounts（本地）快速验证当前值。

例外账户要单独处理，不能“一刀切”

服务账户、监控账户、备份账户等不能被锁定——但也不能因此关闭全局策略。正确做法是：

1. 在域环境中启用细粒度密码策略（FGPP），为特定用户或组分配独立策略（需域功能级别≥Windows Server 2008）
2. 本地服务器可用secpol.msc中“用户权限分配”限制“从网络访问此计算机”权限，缩小高危账户暴露面
3. 禁用Guest账户、删除隐藏账户、清空空密码账户——这些操作本身也是等保必查项

合规检查不能只看界面，要留痕可回溯

测评时只打开gpedit.msc截图是无效的。真正有效的证据包括：

1. 执行gpresult /h report.html生成组策略结果报告（含生效GPO名称与时间戳）
2. 导出安全策略快照：secedit /export /cfg baseline.inf
3. 检查事件查看器中安全日志ID 4740（账户锁定）、4738（密码更改）、4625（登录失败）是否持续产生
4. 对关键策略项做PowerShell批量验证脚本（例如遍历所有本地用户检查密码年龄、复杂度状态）