账户锁定.

在连续失败次数达到设定阈值后,暂时或永久禁止登录的控制措施,用于减缓在线密码猜测攻击。 它属于网络安全的 身份与访问 分类。

在连续失败次数达到设定阈值后,暂时或永久禁止登录的控制措施,用于减缓在线密码猜测攻击。

账户锁定在认证失败次数达到阈值时禁用账户,提高在线暴力破解和密码喷洒的成本。Active Directory、Entra ID、Okta 等大多数认证平台都提供三元参数:最大尝试次数、观察时间窗口和锁定时长(例如 10 分钟内失败 10 次便锁定 30 分钟)。NIST SP 800-63B 建议采用速率限制和智能节流,而非过于激进的锁定策略,因为攻击者可借此制造拒绝服务。现代实现通常结合渐进延迟、按源 IP 节流、CAPTCHA,以及 Microsoft Smart Lockout 等基于风险信号的功能——它只锁定攻击者来源,保留合法登录。

针对 账户锁定 的防御通常结合技术控制与运营实践,详见上方完整定义。

常见的别称包括: 锁定策略, 登录锁定。