前言：密碼是身份認證的基石

密碼認證是電腦系統最基礎的存取控制機制。獲得密碼即意味著獲得對應權限，因此密碼策略的科學配置直接決定系統安全基線。本文詳細說明 Windows 本地安全策略中密碼策略的最佳配置參數與操作步驟。

一、密碼策略配置操作步驟

1. 開啟 控制台 → 管理工具。
2. 雙擊 本地安全策略（secpol.msc）。
3. 展開 安全設定 → 帳戶原則 → 密碼原則。
4. 在右側面板逐項修改下列關鍵參數：

二、核心密碼策略參數與建議值

策略項目	建議設定	安全意義
密碼必須符合複雜性要求	啟用	強制包含大小寫字母、數字、特殊符號，抵抗字典與暴力破解
密碼最小長度	8 個字元以上（建議 12+）	指數級增加暴力破解搜尋空間
密碼最長使用期限	42 天（建議 30-60 天）	限制洩露密碼的利用時間窗口
強制密碼歷史記錄	5 次（建議 10-24 次）	防止使用者輪換使用舊密碼
密碼最短使用期限	1-2 天	配合歷史記錄，防惡意快速變更繞過歷史檢查
可逆加密儲存密碼	停用	禁止以可逆加密儲存，防資料庫洩露即明文

三、進階帳戶鎖定與稽核策略

帳戶鎖定原則（同層級目錄）

• 帳戶鎖定閾值：5 次失敗嘗試
• 鎖定計數器重設時間：30 分鐘
• 帳戶鎖定時間：30 分鐘或需管理員解鎖

有效抵禦線上暴力猜測攻擊。

稽核原則

• 稽核登入事件：成功/失敗皆記錄
• 稽核帳戶管理：成功/失敗皆記錄
• 稽核原則變更：成功/失敗皆記錄
• 配合 SIEM/日誌分析平台實現異常行為告警。

四、密碼安全的系統性視角

密碼策略僅是資訊安全拼圖的一塊。完整防護體系還需：

• 物理安全：防止實體存取竊取雜湊、安裝鍵盤記錄器。
• 網路環境安全：部署 802.1X、IPsec、網段隔離，防止中間人竊聽。
• 權限最小化：日常操作使用標準用戶，提權採用 UAC/Runas。
• 多因子認證（MFA）：關鍵系統、遠程存取、特權帳號強制啟用 MFA。
• 密碼管理工具：推廣 KeePass、Bitwarden 等管理器，杜絕重複/弱密碼。

結語

科學配置密碼策略是低成本、高收益的安全基線動作。但需認清：密碼本質上是「知識因子」，易遭竊取、猜測、社工破解。未來趨勢是向無密碼認證（FIDO2/WebAuthn、Windows Hello、智慧卡）演進，將身份綁定至「擁有因子」與「固有因子」，從根本消除密碼固有弱點。