八月中旬，一个客户的后台在两天内出现 3,100 次登录失败记录，来源集中在三个境外 IP。这是典型的撞库尝试，不是漏洞利用。
先看日志再动手
后台日志显示失败请求集中在凌晨一点到四点，账号分布随机，说明攻击者手里有一份账号字典。我们先封禁三个 IP 段，再把登录失败锁定从 10 次降到 5 次，锁定时长 30 分钟。
密码策略怎么定
强制 8 位以上、含大小写与数字，禁止与用户名相同。老账号一次性重置，通过短信通知管理员。重置后一周内，仍有 2 个账号使用弱密码，被系统拦下并要求修改。
审计日志保留多久
登录、改密、发布内容、修改价格四类操作全部记日志，保留 180 天。日志按账号与 IP 两个维度可查，方便出问题时定位。
还需要注意什么
撞库成功往往靠弱密码，不靠技术手段。比起买防护设备，先把密码策略与日志做扎实更有效。这套配置我们已经做成标准模板，新项目默认启用。
本文要点
- 两天 3,100 次登录失败，属撞库尝试
- 封禁 IP 段，失败锁定收紧到 5 次
- 四类敏感操作日志保留 180 天
- 弱密码比漏洞更容易被利用