1. Політики облікових записів

1.1.1 Переконайтеся, що для параметра «Застосовувати історію паролів» встановлено значення «24 або більше паролів» (Автоматизовано)

Цей параметр політики визначає кількість оновлених унікальних паролів бути пов’язаним з обліковим записом користувача, перш ніж ви зможете повторно використовувати старий пароль. Значення для цей параметр політики має бути від 0 до 24 паролів. Стандартне значення для stand- у системі лише 0 паролів, але налаштування за замовчуванням під час приєднання до домену становить 24 паролі. Щоб зберегти ефективність цього параметра політики, використовуйте Мінімум налаштування віку пароля, щоб запобігти повторній зміні пароля користувачами. Рекомендований стан для цього параметра: 24 або більше паролів. Примітка. Параметри політики паролів (розділ 1.1) і параметри політики блокування облікового запису (розділ 1.2) потрібно застосувати через групову політику домену за замовчуванням, щоб бути глобально діє на облікові записи користувачів домену як поведінку за умовчанням. Якщо ці налаштування налаштовано в іншому GPO, вони впливатимуть лише на локальні облікові записи користувачів на комп’ютери, які отримують GPO. Однак користувацькі винятки для пароля за замовчуванням політики та правила політики блокування облікових записів для певних користувачів домену та/або груп визначені за допомогою об’єктів налаштувань пароля (PSO), які повністю відокремлені від Групова політика та найпростіше налаштувати за допомогою Центру адміністрування Active Directory. Примітка №2. Станом на публікацію цього тесту Microsoft наразі має максимум обмеження 24 збережених паролів. Для отримання додаткової інформації відвідайте сторінку Enforce password історія (Windows 10) – Безпека Windows | Microsoft Docs

Чим довше пароль повторно використовується, тим більша ймовірність того, що загроза може це зробити визначити пароль за допомогою атак грубої сили. Крім того, облікові записи, які могли бути скомпрометований залишатиметься придатним для використання, якщо пароль залишити незмінним. Якщо пароль зміни потрібні, але повторне використання пароля не запобігає, або якщо постійно малий кількість паролів повторно використовується, ефективність хорошої політики паролів є значною зменшений. Якщо для цього параметра політики вказано низьке число, користувачі зможуть використовувати його невелика кількість повторних паролів. Примітка. Якщо параметр Мінімальний вік пароля не налаштовано, користувачі можуть повторно змінювати свої паролі, поки вони не зможуть повторно використовувати свій оригінальний пароль.

Основний вплив цієї конфігурації полягає в тому, що користувачі повинні створювати новий пароль кожен раз час вони повинні змінити свій старий. Якщо користувачам потрібно змінити свої паролів до нових унікальних значень, існує підвищений ризик користувачів, які пишуть свої десь паролі, щоб їх не забули. Інший ризик полягає в тому, що користувачі можуть створювати паролі, які змінюються поступово (наприклад, password01, password02, і так далі), щоб полегшити запам’ятовування, але полегшити їх вгадування. Також ан надмірно низьке значення параметра Мінімальний вік пароля, ймовірно, збільшиться адміністративні витрати, оскільки користувачі, які забули свої паролі, можуть звернутися за допомогою стіл, щоб часто скидати їх налаштування.

1.1.2 Переконайтеся, що для параметра «Максимальний термін дії пароля» встановлено значення «365 або менше днів, але не 0» (Автоматизовано)

Цей параметр політики визначає, як довго користувач може використовувати свій пароль до закінчення терміну його дії. Значення цього параметра політики варіюються від 0 до 999 днів. Якщо встановити значення 0, термін дії пароля ніколи не закінчиться. Оскільки загрозливі особи можуть зламувати паролі, чим частіше ви змінюєте пароль, тим менше можливостей у загрози використовувати зламаний пароль. однак, чим нижче встановлено це значення, тим вищий потенціал збільшення кількості звернень до служби підтримки підтримку через те, що користувачам доводиться змінювати свій пароль або забути пароль поточний. Рекомендований стан для цього параметра становить 365 або менше днів, але не 0. Примітка. Параметри політики паролів (розділ 1.1) і параметри політики блокування облікового запису (розділ 1.2) потрібно застосувати через групову політику домену за замовчуванням, щоб бути глобально діє на облікові записи користувачів домену як поведінку за умовчанням. Якщо ці налаштування налаштовано в іншому GPO, вони впливатимуть лише на локальні облікові записи користувачів на комп’ютери, які отримують GPO. Однак користувацькі винятки для пароля за замовчуванням політики та правила політики блокування облікових записів для певних користувачів домену та/або груп визначені за допомогою об’єктів налаштувань пароля (PSO), які повністю відокремлені від Групова політика та найпростіше налаштувати за допомогою Центру адміністрування Active Directory.

Чим довше існує пароль, тим вища ймовірність того, що він буде зламаний атака грубою силою, загрозливий актор отримує загальні відомості про користувача або за допомогою користувач ділиться паролем. Налаштування параметра Максимальний вік пароля на 0, щоб користувачам ніколи не потрібно змінювати свої паролі, це серйозна загроза безпеці, оскільки що дозволяє загрозі використовувати зламаний пароль протягом усього часу дійсний користувач має авторизований доступ. Оскільки зловмисники можуть зламувати паролі, тим частіше пароль використовується змінено, тим менше можливостей у загрози використовувати зламаний пароль. однак, чим нижче встановлено це значення, тим вищий потенціал збільшення кількості звернень до служби підтримки підтримку через те, що користувачам доводиться змінювати свій пароль або забути пароль поточний.

Якщо параметр Максимальний вік пароля занизький, користувачі повинні змінити його паролі часто. Така конфігурація може знизити безпеку в організації, оскільки користувачі можуть записати свої паролі в незахищеному місці або втратити їх. Якщо значення для цей параметр політики занадто високий, рівень безпеки в організації знижується оскільки це дає зловмисникам більше часу для виявлення або використання паролів користувачів скомпрометовані облікові записи.

1.1.3 Переконайтеся, що для параметра «Мінімальний вік пароля» встановлено значення «1 або більше днів» (Автоматизовано)

Цей параметр політики визначає кількість днів, протягом яких ви повинні використовувати пароль ви можете змінити це. Діапазон значень для цього параметра політики становить від 1 до 999 днів. (Ви також можете встановити значення 0, щоб дозволити негайну зміну пароля.) The значення за замовчуванням для цього параметра становить 0 днів. Рекомендований стан для цього параметра: 1 або більше днів. Примітка. Параметри політики паролів (розділ 1.1) і параметри політики блокування облікового запису (розділ 1.2) потрібно застосувати через групову політику домену за замовчуванням, щоб бути глобально діє на облікові записи користувачів домену як поведінку за умовчанням. Якщо ці налаштування налаштовано в іншому GPO, вони впливатимуть лише на локальні облікові записи користувачів на комп’ютери, які отримують GPO. Однак користувацькі винятки для пароля за замовчуванням політики та правила політики блокування облікових записів для певних користувачів домену та/або груп визначені за допомогою об’єктів налаштувань пароля (PSO), які повністю відокремлені від Групова політика та найпростіше налаштувати за допомогою Центру адміністрування Active Directory.

Користувачі можуть мати улюблені паролі, якими вони люблять користуватися, оскільки їх легко використовувати пам’ятайте, що, на жаль, паролі скомпрометовані, і якщо націлена загроза обліковий запис користувача конкретної особи, із завчасним знанням даних про цього користувача, повторне використання старі паролі можуть спричинити порушення безпеки. Щоб усунути повторне використання пароля, комбінація потрібні параметри безпеки. Використання цього параметра політики з параметром Застосовувати історію паролів запобігає легкому повторне використання старих паролів. Наприклад, якщо ви налаштуєте журнал примусових паролів налаштування, щоб гарантувати, що користувачі не можуть повторно використати жодного зі своїх останніх 12 паролів, вони могли змінюють свій пароль 13 разів протягом кількох хвилин і повторно використовують пароль, який вони завели з, якщо ви також не налаштуєте параметр Мінімальний вік пароля на число, яке є більше 0. Ви повинні налаштувати цей параметр політики на число більше 0 щоб параметр «Застосовувати історію паролів» був ефективним.

Якщо адміністратор встановлює пароль для користувача, але хоче, щоб він змінив його пароль під час першого входу користувача, адміністратор повинен вибрати User must змінити пароль під час наступного входу в систему, інакше користувач не зможе змінити пароль пароль до наступного дня. У середовищах, де доступ обмежений службами віддаленого робочого стола, користувачі не можуть змінити свій пароль перед входом. Їм потрібно призначити тимчасовий пароль, і після встановлення адміністратором користувач не зможе його змінити до наступного дня.

1.1.4 Переконайтеся, що для параметра «Мінімальна довжина пароля» встановлено значення «14 або більше символів» (Автоматизовано)

Цей параметр політики визначає найменшу кількість символів, які складають пароль для облікового запису користувача. Рекомендований стан для цього параметра: 14 або більше символів. Примітка. У Windows Server 2016 і старіших версіях Windows Server графічний інтерфейс користувача Локальна політика безпеки (LSP), редактор локальної групової політики (LGPE) і групова політика Редактор керування (GPME) не дозволить вам встановити це значення вище 14 символів. Однак, починаючи з Windows Server 2019, Microsoft змінила графічний інтерфейс, щоб дозволити до пароль довжиною мінімум 20 символів. Примітка №2: Параметри політики паролів (розділ 1.1) і параметри політики блокування облікового запису (розділ 1.2) потрібно застосувати через групову політику домену за замовчуванням, щоб бути глобально діє на облікові записи користувачів домену як поведінку за умовчанням. Якщо ці налаштування налаштовано в іншому GPO, вони впливатимуть лише на локальні облікові записи користувачів на комп’ютери, які отримують GPO. Однак користувацькі винятки для пароля за замовчуванням політики та правила політики блокування облікових записів для певних користувачів домену та/або груп визначені за допомогою об’єктів налаштувань пароля (PSO), які повністю відокремлені від Групова політика та найпростіше налаштувати за допомогою Центру адміністрування Active Directory.

Типи атак на пароль включають атаки за словником (які намагаються використовувати загальні слова та фрази) і атаки грубої сили (які пробують усі можливі комбінації символи). Крім того, зловмисники іноді намагаються отримати базу даних облікових записів, щоб вони може використовувати інструменти для виявлення облікових записів і паролів.

Вимоги до надто довгих паролів можуть знизити безпеку організації, оскільки користувачі можуть залишити інформацію в незахищеному місці або втратити це. Якщо потрібні дуже довгі паролі, неправильно введені паролі можуть спричинити обліковий запис блокування та збільшення обсягу звернень до служби підтримки. Якщо ваша організація має проблеми з забуті паролі через вимоги до довжини пароля, подумайте про те, щоб навчити свій користувачам про парольні фрази, які часто легше запам’ятати і, завдяки більшому розміру кількість комбінацій символів, набагато важче виявити.

1.1.5 Переконайтеся, що для параметра «Пароль має відповідати вимогам до складності» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики перевіряє всі нові паролі, щоб переконатися, що вони відповідають основним вимоги до надійних паролів. Якщо цю політику ввімкнено, паролі мають відповідати таким мінімальним вимогам: • Не містити імені облікового запису користувача або частин повного імені користувача, що перевищує два послідовних символи • Довжина має бути не менше шести символів • Містить символи трьох із наведених нижче категорій: • Англійські великі літери (від A до Z) • Англійські малі літери (від a до z) • База 10 цифр (від 0 до 9) • Неалфавітні символи (наприклад, !, $, #, %) • Універсальна категорія будь-якого символу Unicode, який не підпадає під попередні чотири категорії. Ця п’ята категорія може бути регіональною. Кожен додатковий символ у паролі експоненціально збільшує його складність. для наприклад, пароль із семи символів, у якому всі букви є малими літерами, матиме 26 до можливих комбінацій у ступені 7 (приблизно 8 х 10 у ступені 9 або 8 мільярдів). При 1 000 000 спробах за секунду (можливість багатьох утиліт для злому паролів) для злому потрібно лише 133 хвилини. Пароль із семи символів алфавіту з регістром чутливість має 52 у ступені 7 комбінацій. Сім символів з урахуванням регістру буквено-цифровий пароль без пунктуації має 62 у ступені 7 комбінацій. Ан Восьмисимвольний пароль має 26 у ступені 8 (або 2 x 1011) можливих комбінацій. Хоча це може здатися великою кількістю, при 1 000 000 спробах на секунду знадобиться лише 59 годин, щоб спробувати всі можливі паролі. Пам’ятайте, ці часи будуть значно зростає для паролів, які використовують символи ALT та іншу спеціальну клавіатуру такі символи, як “!” або “@”. Правильне використання налаштувань пароля може допомогти в цьому важко змонтувати атаку грубою силою. Рекомендований стан для цього параметра: увімкнено.

Примітка. Параметри політики паролів (розділ 1.1) і параметри політики блокування облікового запису (розділ 1.2) потрібно застосувати через групову політику домену за замовчуванням, щоб бути глобально діє на облікові записи користувачів домену як поведінку за умовчанням. Якщо ці налаштування налаштовано в іншому GPO, вони впливатимуть лише на локальні облікові записи користувачів на комп’ютери, які отримують GPO. Однак користувацькі винятки для пароля за замовчуванням політики та правила політики блокування облікових записів для певних користувачів домену та/або груп визначені за допомогою об’єктів налаштувань пароля (PSO), які повністю відокремлені від Групова політика та найпростіше налаштувати за допомогою Центру адміністрування Active Directory.

Паролі, які містять лише буквено-цифрові символи, надзвичайно легко знайти за допомогою кількох загальнодоступних інструментів.

Якщо конфігурація складності пароля за замовчуванням збережена, додаткові дзвінки в службу підтримки для заблокованих облікових записів може виникнути, оскільки користувачі можуть не звикнути паролі, які містять неалфавітні символи. Однак усі користувачі повинні мати змогу відповідати вимогам складності з мінімальними труднощами. Якщо ваша організація має суворіші вимоги до безпеки, ви можете створити спеціальний версія файлу Passfilt.dll, яка дозволяє використовувати довільно складний пароль правил. Наприклад, користувацький фільтр паролів може вимагати використання не верхнього рядка персонажів. (Символи верхнього рядка – це ті, для яких потрібно утримувати SHIFT і натисніть будь-яку цифру від 1 до 0.) Також може використовуватися спеціальний фільтр паролів виконайте перевірку словника, щоб переконатися, що запропонований пароль не містить загальновживані словникові слова або фрагменти. Крім того, використання комбінацій клавіш ALT може значно збільшити складність пароль. Однак такі суворі вимоги до пароля можуть призвести до нещастя користувачів і надзвичайно зайняту службу підтримки. Крім того, ваша організація може розглянути вимога до всіх паролів адміністратора використовувати символи ALT у 0128 – 0159 діапазон. (Символи ALT за межами цього діапазону можуть представляти стандартні буквено-цифрові символи символи, які не ускладнять пароль.)

1.1.6 Переконайтеся, що для параметра «Ослабте обмеження мінімальної довжини пароля» встановлено значення «Увімкнено» (Автоматизовано)

Цей параметр політики визначає, чи можна встановити мінімальну довжину пароля збільшено за встановлений ліміт у 14 символів. Для отримання додаткової інформації див стежити за блогом безпеки Microsoft. Рекомендований стан для цього параметра: увімкнено. Примітка. Цей параметр впливає лише на локальні облікові записи на комп’ютері. Облікові записи домену є впливають лише налаштування на контролерах домену, оскільки саме там домен облікові записи зберігаються.

Цей параметр дозволить застосовувати довші та загалом надійніші паролі або парольні фрази, де MFA не використовується.

Мінімальна довжина пароля може бути налаштована довше ніж 14 символів. Якщо потрібні дуже довгі паролі, неправильно введені паролі можуть спричинити блокування облікового запису і збільшити кількість звернень до служби підтримки. Якщо ваша організація має проблеми з забуті паролі через вимоги до довжини пароля, подумайте про те, щоб навчити свій користувачам про парольні фрази, які часто легше запам’ятати і, завдяки більшому розміру кількість комбінацій символів, набагато важче виявити.

1.1.7 Переконайтеся, що для параметра «Зберігати паролі за допомогою оборотного шифрування» встановлено значення «Вимкнено» (Автоматизовано)

Цей параметр політики визначає, чи операційна система певним чином зберігає паролі який використовує оборотне шифрування, яке забезпечує підтримку протоколів додатків, які вимагати знання пароля користувача для цілей автентифікації. Паролі, які зберігаються з оборотним шифруванням, по суті, такі ж, як і версії відкритого тексту паролі. Рекомендований стан для цього параметра: вимкнено. Примітка. Параметри політики паролів (розділ 1.1) і параметри політики блокування облікового запису (розділ 1.2) потрібно застосувати через групову політику домену за замовчуванням, щоб бути глобально діє на облікові записи користувачів домену як поведінку за умовчанням. Якщо ці налаштування налаштовано в іншому GPO, вони впливатимуть лише на локальні облікові записи користувачів на комп’ютери, які отримують GPO. Однак користувацькі винятки для пароля за замовчуванням політики та правила політики блокування облікових записів для певних користувачів домену та/або груп визначені за допомогою об’єктів налаштувань пароля (PSO), які повністю відокремлені від Групова політика та найпростіше налаштувати за допомогою Центру адміністрування Active Directory.

Увімкнення цього параметра політики дозволяє операційній системі зберігати паролі в більш слабкому вигляді формат, який набагато більш сприйнятливий до компрометації та послаблює вашу систему безпеки.

Якщо ваша організація використовує протокол автентифікації CHAP через дистанційне керування доступу до служб IAS або дайджест-автентифікації в IIS, ви повинні налаштувати цю політику значення Enabled. Цей параметр надзвичайно небезпечно застосовувати через групову політику на основі кожного користувача, оскільки для цього потрібен відповідний об’єкт облікового запису користувача відкрито в Active Directory — користувачі та комп’ютери.

1.2.1 Переконайтеся, що для параметра «Тривалість блокування облікового запису» встановлено значення «15 або більше хвилин» (Автоматизовано)

Цей параметр політики визначає тривалість часу, який має пройти до блокування облікового запису розблоковано, і користувач може спробувати увійти знову. Параметр робить це шляхом визначення кількість хвилин, протягом яких заблокований обліковий запис залишатиметься недоступним. Якщо значення для цього параметр політики налаштовано на 0, заблоковані облікові записи залишатимуться заблокованими до адміністратор вручну розблокує їх. Хоча може здатися гарною ідеєю налаштувати значення цього параметра політики на a високе значення, така конфігурація, швидше за все, збільшить кількість дзвінків, які надають допомогу desk отримує для розблокування облікових записів, заблокованих помилково. Користувачі повинні знати про скільки часу замок залишається на місці, щоб вони зрозуміли, що їм потрібно лише викликати допомогу на столі, якщо їм надзвичайно терміново потрібно відновити доступ до свого комп’ютера. Рекомендований стан для цього параметра: 15 або більше хвилин. Примітка. Параметри політики паролів (розділ 1.1) і параметри політики блокування облікового запису (розділ 1.2) потрібно застосувати через групову політику домену за замовчуванням, щоб бути глобально діє на облікові записи користувачів домену як поведінку за умовчанням. Якщо ці налаштування налаштовано в іншому GPO, вони впливатимуть лише на локальні облікові записи користувачів на комп’ютери, які отримують GPO. Однак користувацькі винятки для пароля за замовчуванням політики та правила політики блокування облікових записів для певних користувачів домену та/або груп визначені за допомогою об’єктів налаштувань пароля (PSO), які повністю відокремлені від Групова політика та найпростіше налаштувати за допомогою Центру адміністрування Active Directory.

Умову відмови в обслуговуванні (DoS) можна створити, якщо зловмисник зловживає обліковим записом поріг блокування та неодноразові спроби входу з певним обліковим записом. Одного разу Порогове значення блокування облікового запису налаштовано, обліковий запис буде заблоковано після вказану кількість невдалих спроб. Якщо для тривалості блокування облікового запису встановлено значення 0, тоді обліковий запис залишатиметься заблокованим, доки адміністратор не розблокує його вручну.

Хоча може здатися гарною ідеєю налаштувати цей параметр політики на ніколи автоматично розблокувати обліковий запис, така конфігурація може збільшити кількість запити, які отримує довідкова служба вашої організації, щоб розблокувати облікові записи, які були заблоковано помилково.

1.2.2 Переконайтеся, що для «Порогового значення блокування облікового запису» встановлено значення «5 або менше недійсних спроб входу в систему», але не 0 (Автоматизовано)

Цей параметр політики визначає кількість невдалих спроб входу до входу в обліковий запис заблокований. Рекомендований стан для цього параметра: 5 або менше недійсних спроб входу в систему, але не 0. Примітка. Значення 0 не відповідає тесту, оскільки воно вимикає блокування облікового запису поріг. Примітка №2: Параметри політики паролів (розділ 1.1) і параметри політики блокування облікового запису (розділ 1.2) потрібно застосувати через групову політику домену за замовчуванням, щоб бути глобально діє на облікові записи користувачів домену як поведінку за умовчанням. Якщо ці налаштування налаштовано в іншому GPO, вони впливатимуть лише на локальні облікові записи користувачів на комп’ютери, які отримують GPO. Однак користувацькі винятки для пароля за замовчуванням політики та правила політики блокування облікових записів для певних користувачів домену та/або груп визначені за допомогою об’єктів налаштувань пароля (PSO), які повністю відокремлені від Групова політика та найпростіше налаштувати за допомогою Центру адміністрування Active Directory.

Встановлення порогу блокування облікового запису зменшує ймовірність того, що онлайновий пароль атака грубою силою буде успішною. Встановлено занадто низький поріг блокування облікового запису створює ризик збільшення випадкового блокування та/або навмисного загрози блокування облікових записів.

Якщо цей параметр політики ввімкнено, заблокований обліковий запис не можна буде використовувати, доки його не буде скинуто адміністратора або до закінчення терміну блокування облікового запису. Цей параметр може генерувати додаткові дзвінки в службу підтримки. Якщо застосувати цей параметр, загроза може спричинити стан відмови в обслуговуванні навмисне створення невдалих входів для кількох користувачів, тому ви також повинні налаштуйте відносно низьке значення тривалості блокування облікового запису. Якщо для порогового значення блокування облікового запису встановлено значення 0, існує ймовірність того, що зловмисник спроба виявити паролі за допомогою атаки паролем грубої сили може залишитися непоміченою якщо надійний механізм аудиту відсутній.

1.2.3 Переконайтеся, що для параметра «Дозволити блокування облікового запису адміністратора» встановлено значення «Увімкнено» (лише MS) (Вручну)

Цей параметр політики визначає, чи підпадає під дію вбудованого облікового запису адміністратора такі параметри Політики блокування облікового запису: Тривалість блокування облікового запису, Обліковий запис поріг блокування та Скинути лічильник блокувань облікового запису. За замовчуванням цей обліковий запис є виключено з елементів керування блокуванням облікового запису та ніколи не буде заблоковано з повторним спроби неправильного пароля. Рекомендований стан для цього параметра: увімкнено. Примітка. Цей параметр застосовується лише до ОС, виправлених станом на 11 жовтня 2022 року (див. MS KB5020282).

Увімкнення політики блокування облікового запису для вбудованого облікового запису адміністратора зменшить ймовірність успішної атаки грубою силою.

На вбудований обліковий запис адміністратора поширюватимуться правила, наведені в Розділі 1.2 Обліковий запис Політика блокування цього тесту.

1.2.4 Переконайтеся, що для параметра «Скинути лічильник блокувань облікового запису через» встановлено значення «15 або більше хвилин» (Автоматизовано)

Цей параметр політики визначає тривалість часу до порогу блокування облікового запису скидається на нуль. Значення за замовчуванням для цього параметра політики не визначено. Якщо обліковий запис визначено поріг блокування, цей час скидання має бути меншим або дорівнювати значенню для налаштування тривалості блокування облікового запису. Рекомендований стан для цього параметра: 15 або більше хвилин. Примітка. Параметри політики паролів (розділ 1.1) і параметри політики блокування облікового запису (розділ 1.2) потрібно застосувати через групову політику домену за замовчуванням, щоб бути глобально діє на облікові записи користувачів домену як поведінку за умовчанням. Якщо ці налаштування налаштовано в іншому GPO, вони впливатимуть лише на локальні облікові записи користувачів на комп’ютери, які отримують GPO. Однак користувацькі винятки для пароля за замовчуванням політики та правила політики блокування облікових записів для певних користувачів домену та/або груп визначені за допомогою об’єктів налаштувань пароля (PSO), які повністю відокремлені від Групова політика та найпростіше налаштувати за допомогою Центру адміністрування Active Directory.

Якщо політику блокування облікового запису залишити за замовчуванням або налаштувати надмірно довгий інтервал, середовище може бути вразливим до атак типу «відмова в обслуговуванні» (DoS). А учасник загрози може неодноразово намагатися ввійти через кілька облікових записів, запускаючи блокування та порушення доступу. Без визначеного порогу блокування адміністраторам доведеться скинути налаштування вручну постраждалі облікові записи. Однак, установивши розумну тривалість блокування, облікові записи будуть автоматично розблоковувати через визначений період, зменшуючи адміністративні витрати та збереження безпеки.

Користувачі можуть випадково заблокувати собі доступ до своїх облікових записів, якщо введуть неправильно пароль кілька разів.