强化账户安全：锁定策略与密码恢复机制

背景简介

在数字化时代，账户安全成为个人和组织网络安全的重要组成部分。账户锁定策略是防止暴力攻击的关键手段之一，而密码恢复则为合法用户提供了一种重新获得访问权的途径。本文将从这几个方面展开，提供一系列实用的策略和建议。

账户锁定策略

账户锁定策略是一种保护用户账户不被破解的有效手段。例如，在多次错误密码尝试后禁用账户，可以有效预防暴力密码攻击。管理员可以设定账户锁定的时间段，比如一个小时或两个小时，或者直到手动重新启用账户。Windows系统中的默认锁定策略设置是一个很好的参考点（图 3-45）。账户锁定策略的设定应考虑防止恶意用户利用暴力破解技术猜测密码。

账户锁定阈值

账户锁定阈值通常设定为一个小的数字，如三到十次，既能防止暴力攻击，又能对偶尔忘记密码的用户表示宽容。账户锁定通常会出现在审计日志中，提醒管理员潜在的攻击或账户问题。

账户和密码恢复

在组织的账户策略中，应包含账户和密码恢复。账户恢复策略应涵盖禁用和已删除的账户。密码恢复通常只适用于忘记密码的情况。在Windows系统中，账户标识符被称为SID，而在UNIX和Linux系统中，被称为UIDs。管理员可以重新启用禁用的账户，但删除的账户则需要更复杂的恢复过程。密码恢复通常在密码被离线存储时发生，如在安全文件中。如果没有离线存储，恢复可能较为困难。

考试小贴士

始终将账户锁定策略设置为组织账户策略的一部分，以免恶意用户通过暴力破解技术访问账户。

基于位置和时间的策略

随着智能手机的普及，基于设备的网络位置安全策略变得越来越重要。例如，公司可以限制员工在离开指定地理区域时使用智能手机的特定功能。时间基础登录策略提供了额外的认证层，如限制用户登录时间，增加了账户安全性。

异常检测政策

利用基于云的网络解决方案，如Microsoft Azure Active Directory，可以实现高级的账户安全策略。这些策略包括检测不可能的旅行时间、风险登录和活动率监控，如图3-47所示。这些策略可以自动触发安全警报，帮助管理员采取适当的行动。

账户管理

网络管理员负责执行一系列重复性任务以确保公司安全，如入职/离职时的账户创建与管理、用户审计和审查以及持续监控。

入职/离职

在新员工入职时应创建新账户，并在员工离职时重置账户而非删除，以便数据恢复。

账户审计与审查

定期审计用户对系统和资源的访问权限是必要的，以确保符合组织访问控制政策，并防止权限蔓延问题。审计过程应包括权限审计和使用审计。

持续监控

持续监控是审计的一种形式，确保系统和数据的适当访问，并由授权人员访问。这支持了授权和不可否认性的安全概念，以及问责制。

总结与启发

账户锁定策略和密码恢复机制是保障账户安全的基石。通过合理的策略设定，可以有效防止未授权访问，同时为合法用户提供便捷的恢复途径。异常检测政策和持续监控则为账户管理提供了高级的安全保护。管理员应定期审查和调整策略，以适应不断变化的安全需求和环境。

在未来，随着技术的发展，账户安全将面临更多挑战，但也带来了创新的解决方案。读者应当持续关注最新的网络安全动态，以确保账户策略的有效性和安全性。