Windows账户防暴力破解关键在于密码复杂度与账户锁定策略协同配置：密码长度≥12位、历史记录≥24个、有效期30–60天；账户锁定阈值设为5次失败登录，并配合适当锁定时间与计数器重置。

要让windows账户真正防得住暴力尝试和弱口令风险，关键不在装多少软件，而在把密码复杂度和账户锁定这两项基础策略配对、配准、配到位。它们不是孤立设置，而是相互支撑的一体防线。

密码复杂度必须启用且设实

仅勾选“密码必须符合复杂性要求”远远不够。它默认只强制四类字符中任选三类，但若不配合足够长度和历史限制，用户仍可能设出“Abc123!Abc123!”这类看似复杂实则可预测的密码。

• 最小密码长度至少设为12位——8位在当前算力下已不具备实质防护力
• 强制密码历史建议设为24个，防止用户循环使用旧密码变体
• 密码最长使用期限控制在30–60天之间，太短易引发频繁重置抵触，太长则失去定期刷新意义
• 密码最短使用期限设为1天，避免刚改完立刻再改以绕过历史检查

账户锁定策略要讲逻辑闭环

锁定不是越严越好，重点是让攻击者无法持续试错，同时又不给正常用户添堵。三项参数必须协同生效：

Windows 日历同步

将提醒同步至 Windows/Outlook 日历。用户提及「提醒我」「设置提醒」「加到日历」「同步到日历」「日程」「calendar」「日历」时触发。支持Microsoft Graph API 设备代码流认证，无需 Web 服务器，直接写入用户 Outlook 日历。

下载

• 账户锁定阈值设为5次失败登录——低于3次容错太低，高于10次防御失效
• 账户锁定时间与重置账户锁定计数器，确保计数器归零和锁定解除同步，避免出现“锁着但计数已清”的策略空档
• 注意：该策略覆盖所有登录入口，包括登录界面、Ctrl+Alt+Del、屏保解锁、远程桌面等，不是仅限于首次开机

家庭版用户可用注册表补位

Windows家庭版没有secpol.msc或gpedit.msc，但安全不能妥协。可通过注册表手动强化底层验证机制：

• 定位到HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa
• 新建DWORD值LmCompatibilityLevel，数值设为5（启用NTLMv2并禁用LM协商）
• 新建DWORD值NoLMHash，数值设为1（彻底禁用LM哈希存储，杜绝离线破解入口）
• 修改后需重启生效，无需额外工具或驱动

策略生效后务必验证效果

配置完成不等于防护就位。建议用非管理员账户做一次真实测试：

• 连续输错5次密码，确认账户被锁定且无法登录
• 等待30分钟后再次尝试，应能正常输入正确密码登录
• 尝试设置一个含账户名或姓名片段的密码（如用户名为zhangsan，设密码zhangsan123!），应被拒绝
• 查看事件查看器 → Windows日志 → 安全，筛选事件ID 4740（账户锁定）和4738（密码更改），确认日志记录完整