駭客常利用自動化工具對 Windows 遠端桌面 (RDP)、SMB 共享、本機登入進行 暴力破解密碼。Win10 專業版/企業版內建 帳戶鎖定原則，設定 錯誤嘗試次數門檻 與 鎖定時間，可有效阻擋暴力破解攻擊。
設定帳戶鎖定原則防暴力破解
- 按 Win + R 輸入
gpedit.msc 開啟本機群組原則編輯器 (需專業版/企業版/教育版)。
- 依序展開：電腦設定 > Windows 設定 > 安全性設定 > 帳戶原則 > 帳戶鎖定原則。
- 雙擊 帳戶鎖定臨界值，設定 無效登入嘗試次數 為 3 ~ 5 次 (建議 5)，點選 確定。
- 系統彈出 建議的值變更：帳戶鎖定時間 = 30 分鐘**、**重設鎖定計數器 = 30 分鐘**，點選 確定 採納預設。
- (可選) 若覺得 30 分鐘鎖定太短，雙擊 帳戶鎖定時間 設定更長時間 (如 60 分鐘、0 表示永久鎖定需管理員解鎖)。
三大原則關係圖解
- 帳戶鎖定臨界值： 允許失敗幾次才鎖定 (0 = 不鎖定，危險)。
- 帳戶鎖定時間： 鎖定後多久自動解鎖 (0 = 永久鎖定需管理員介入)。
- 重設帳戶鎖定計數器： 多久後將失敗計數歸零 (建議 ≤ 鎖定時間)。
進階防護建議
- 修改 RDP 預設連接埠 (3389)：** 登錄修改
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp\PortNumber 降低掃描命中率。
- 啟用網路層級驗證 (NLA)： 系統屬性 > 遠端 > 僅允許執行網路層級驗證的遠端桌面連線。
- 安裝 Fail2Ban 類工具 (如 RdpGuard、Syspeace)：** 監聽登入失敗日誌自動封鎖 IP。
- 使用強密碼/多因子驗證 (MFA)：** 根本上提高破解成本。
- 家用版無 gpedit.msc： 可用
secpol.msc (本機安全性原則) 或登錄修改 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon 相關值。
啟用帳戶鎖定原則並配合進階防護，能大幅提高 Win10 抵禦暴力破解密碼的能力，保護資料與隱私安全。
