机关单位弱口令排查整改自查报告

3月17日，机关信息安全科在月度巡检时发现，单位办公室小李的弱口电脑上仍挂着三个月前设置的密码“Admin@123”。这串字符同时出现在他使用的令排四个业务系统里，其中两个系统连接着内部数据交换平台。查整查报这不是改自告个例——上周突击检查的47台终端里，有11台存在类似问题，机关占比超过两成。单位

弱口令的弱口排查比想象中更费劲。技术手段只能筛出明显不合规的令排，比如纯数字、查整查报纯字母、改自告键盘顺序排列。机关真正棘手的单位是那些看似复杂实则脆弱的组合，像“Zxcv@1234”“P@ssw0rd2023”，弱口这类密码在字典攻击面前撑不过五分钟。我让同事尝试用单位名称加年份的方式去猜解几个账号，结果十分钟内破解了三个。其中一个还是财务系统的管理员账号，权限大得能导出近三年的报销明细。

整改先从最要紧的做起。4月2日，我们关闭了所有业务系统的密码找回功能，强制要求首次登录必须修改初始密码。给每个科室配发了随机密码生成器，生成的密码至少12位，包含大小写字母、数字和特殊符号。刚开始有人抱怨记不住，我们就建议用密码管理工具，或者把密码拆成几段记在纸质本子上，但本子要锁在抽屉里。

真正让整改落地的是5月中旬那次模拟攻击演练。信息安全科扮演外部攻击者，用弱口令字典库对全体人员的账号发起撞库测试。结果有6个账号被成功突破，其中就包括办公室小李那个“Admin@123”。当天下午，我们直接在小李的电脑屏幕上弹出红色警告框，显示“您的账号已被入侵，请立即修改密码”。全楼都听见了他那声“哎哟”。

演练之后，规矩立起来了。现在每个季度做一次全员密码抽查，不打招呼直接查后台日志。凡是密码超过90天未更换的，系统会自动锁定账号，必须到信息科当面解锁，顺便签一份《密码安全承诺书》。这招挺管用，上季度末还有37个账号待解锁，这季度只剩5个。那5个都是临近退休的老同志，我们专门安排了技术员上门帮着改。

整改不是把密码变复杂就完事。6月中旬我们检查了所有系统的登录日志，发现夜间2点到4点有连续尝试登录的记录，来源IP指向外网。虽然没成功，但说明有人在拿撞库工具试。后来给所有系统加了登录失败锁定策略——连续输错5次就锁账号15分钟，同时触发短信提醒。这个功能上线第一个月，拦截了超过200次异常尝试。

回头看，这次自查整改最值钱的经验不是技术手段，而是把“密码安全”从一句口号变成了具体动作。现在每周五下午，信息安全科会随机挑三个部门，当场让人演示密码输入过程——不看内容，只看输入习惯。有人习惯把密码写在便利贴上粘在显示器边框，这跟把钥匙挂在门口没区别。上个月还真逮着两个这么干的，其中一个还是部门负责人。

密码这事，说到底是个习惯问题。系统再强，架不住人偷懒。现在全局上下都明白了一个理儿：密码越复杂，数据越安全，觉也睡得越踏实。