XP 賬戶安全三重鎖：密碼策略強制、Syskey 雙重加密、組策略集中管控

弱密碼、永不修改、單因子認證是賬戶淪陷三大元兇。組策略 + Syskey 構建三重防線。

第一重：密碼策略強制複雜度與壽命

1. Win+R → gpedit.msc
2. 計算機配置 → Windows 設置 → 安全設置 → 帳戶策略 → 密碼策略
3. 關鍵設置：
   「密碼必須符合複雜性要求」→ 已啟用（禁用 123/abc/同字符）
   「密碼最小長度」→ ≥ 8 位
   「密碼最短壽命」→ 1 天（防立即改回）
   「密碼最長壽命」→ 42 天（強制定期換）
   「強制密碼歷史記錄」→ 6 次（防循環復用）
   「可逆加密存儲密碼」→ 禁用

第二重：Syskey 系統金鑰雙重加密 SAM

1. Win+R → syskey
2. 選「啟用加密」→ 確定（不可逆操作）
3. 選項：
   ① 系統生成金鑰存儲本地（默認，透明）
   ② 密碼派生金鑰（啟動需輸入）
   ③ 金鑰存儲軟盤（啟動需插軟盤）
4. 建議：物理安全較好的環境用 ①，攜帶設備用 ②/③

效果：SAM 數據庫離線攻擊（如啟動 Linux 讀取 SAM）變為密文，無金鑰無法破解。

第三重：組策略集中管控（域環境）

• 域控制器編輯默認域策略/OU 級 GPO，下發上述密碼策略與 Syskey 設置
• 配合「帳戶鎖定策略」：鎖定閾值 5 次、鎖定時間 30 分鐘、重置計數器 30 分鐘
• 審核策略：審核登錄事件（成功/失敗）、帳戶管理、策略變更

三重鎖從本地到域、從在線到離線、從預防到審計，全方位守護賬戶安全。