每年都发通知，每季度都做检查，弱密码依然存在。原因很简单：靠自觉解决不了这类问题，必须靠机制——策略限制、统一认证、特权管控和定期扫描。
一、先摸清有多少账号
治理的第一步是盘点。很多企业连"有多少个账号"都不清楚，更不用说哪些是弱密码。
- 系统账号：服务器、数据库、网络设备、业务系统
- 人员账号：员工、外包、临时账号
- 服务账号：用于系统间调用、脚本执行
- 共享账号：共用账号应尽量消除
二、用策略把底线卡住
- 最小长度，禁止常见弱口令与键盘序列
- 禁止使用与用户名、公司名相关的组合
- 首次登录与重置后强制修改
- 对连续失败登录做锁定或延迟
定期强制修改并非越长越好
过短的强制周期会让用户用"密码+1"的方式应付。更有效的是延长周期但提高复杂度要求，并配合多因素认证。
三、特权账号单独管
管理员账号是攻击者的首要目标，需要单独一套规则：
- 一账号一人，禁止共用
- 通过堡垒机访问，操作全程留痕
- 日常使用普通账号，特权按需临时授予
- 特权账号密码定期更换，并由专人保管
四、定期扫描与整改闭环
| 动作 | 频率 | 输出 |
|---|---|---|
| 弱口令扫描 | 每季度 | 问题清单（按系统分组） |
| 账号清理 | 每季度 | 离职与长期未用账号清单 |
| 整改复核 | 次月 | 已整改 / 待整改 / 例外说明 |
五、把结果和流程连起来
扫描出的问题要有责任人、有期限。离职与转岗的账号回收纳入人事流程，入职当天开通、离职当天关闭。弱密码治理的终点不是某次扫描结果漂亮，而是"账号生命周期有流程兜着"。
#弱密码#口令策略#账号安全#运维事业部
