Windows防暴力破解需严格配置组策略密码与账户锁定策略：密码复杂性启用、长度≥12位、有效期60天、最短使用期1天、历史记录24个；账户锁定阈值5次、锁定时间30分钟、计数器重置30分钟；禁用LM哈希（NoLMHash=1）、强制NTLMv2（LmCompatibilityLevel=5）；禁用Guest账户、关闭显示上次用户名、禁止SAM匿名枚举。
要让windows系统真正防住暴力破解和弱口令风险，核心就是用组策略把密码规则和账户锁定门槛卡死——不是设了就行，得设对、配齐、生效。
密码策略五项必须拉满
全部在gpedit.msc → 计算机配置 → Windows 设置 → 安全设置 → 账户策略 → 密码策略里操作：
-
密码必须符合复杂性要求：启用——强制含大写、小写、数字、特殊字符中至少三类（如
合规，
不合规） - 密码长度最小值：设为12——8位是底线，12位才扛得住现代爆破工具
- 密码最长使用期限：设为60天——比默认42天更短，兼顾安全与运维节奏
- 密码最短使用期限：设为1天——防止用户刚改完立刻重设，绕过历史记录
- 强制密码历史：设为24——记住最近24个旧密码，彻底堵死循环复用
账户锁定三项必须联动
路径同上，切换到账户锁定策略文件夹：
- 账户锁定阈值：5次无效登录——低于5次易被绕过，高于5次可能误锁正常用户
- 账户锁定时间：30分钟——足够打断爆破节奏，又留出管理员应急窗口
- 重置账户锁定计数器：30分钟——必须和锁定时间一致，否则计数器不清零，策略形同虚设
配完可在事件查看器中筛选事件ID 4740，确认锁定是否真实触发。
注册表补刀不能跳过
仅靠组策略还不够，LM哈希和NTLM降级是常见绕过路径：
- 打开regedit，定位到HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa
- 新建DWORD值NoLMHash = 1——禁用LM哈希存储，防NTLMv1降级攻击
- 新建DWORD值LmCompatibilityLevel = 5——强制只接受NTLMv2，拒绝弱协商
- 重启生效
额外加固动作
这些操作虽不属组策略范畴，但直接影响最终防护效果：
- 禁用Guest账户：计算机管理 → 本地用户和组 → 用户 → Guest右键属性 → 勾选“账户已禁用”
- 关闭“交互式登录：显示上次用户名”：组策略中路径为本地策略 → 安全选项，避免信息泄露
- 禁用SAM匿名枚举：同一位置下启用网络访问：不允许SAM账户的匿名枚举
