Сброс счётчика блокировки учётной записи Windows

TL;DR

Если вы многократно вводите неверный пароль локальной учётной записи, Windows считает неудачные попытки и может временно заблокировать вход. Вы можете изменить время автоматического сброса счётчика неудачных попыток через Локальную политику безопасности (в редакциях Pro/Enterprise/Education) или через командную строку в других редакциях. Ниже — пошаговые инструкции, рекомендации и шаблоны действий для администраторов и сотрудников поддержки.

Контекст: Windows считает количество неверных попыток входа и, при достижении порога, временно блокирует аккаунт. Параметр «Reset account lockout counter after» задаёт, через сколько минут счётчик неудачных попыток автоматически обнуляется.

Что делает параметр и когда его менять

Параметр контролирует, через сколько минут бездействия счётчик неверных попыток входа автоматически обнуляется. Меньшее значение уменьшает риск длительной блокировки после случайных ошибок, большее значение повышает безопасность при атаке подбором пароля. Выберите значение, согласованное с политиками вашей организации.

Краткое определение: счётчик блокировки — внутренняя переменная, которая увеличивается при каждой неверной попытке входа и сбрасывается после заданного времени.

Сброс счётчика блокировки через Локальную политику безопасности (рекомендуется для Pro/Enterprise/Education)

1. Нажмите клавиши Windows + R и откройте окно “Выполнить”.
2. Введите secpol.msc и нажмите Enter.

3. В левой панели откройте папку Account Policies, затем Account Lockout Policy.

4. В правой панели дважды щёлкните по параметру Reset account lockout counter after.

5. Укажите число от 1 до 99 999 (в минутах) и нажмите OK. Чем выше значение, тем дольше счётчик будет хранить неудачные попытки.

Важно: параметр Account lockout duration (продолжительность блокировки) должен быть равен или больше времени автоматического обнуления счётчика, если вы хотите, чтобы блокировка не снималась раньше, чем сбросится счётчик.

Изменение времени сброса счётчика через командную строку

Если в системе установлена редакция Home или другая, где недоступна оснастка secpol.msc, используйте командную строку с правами администратора или PowerShell.

1. Откройте командную строку с правами администратора.
2. Введите и выполните команду:

net accounts

3. В выводе найдите строку Lockout observation window — это текущее время (в минутах) до автоматического сброса счётчика.
4. Чтобы изменить значение, выполните команду (пример — 60 минут):

net accounts /lockoutwindow:60

5. Замените число 60 любым значением от 1 до 99 999 — это количество минут, через которое счётчик будет сброшен.

Замечание: команда работает для локальных политик учётных записей. В доменной среде параметры блокировки обычно задаёт групповая политика (GPO) на контроллёре домена.

Практические рекомендации и подбор значений

• Домашние и небольшие сети: 10–30 минут обычно удобны — пользователи успевают повторить ввод пароля без длительной блокировки.
• Корпоративные среды с повышенным уровнем безопасности: 30–1440 минут (от получаса до суток) при сочетании с ограничением числа неудачных попыток.
• Если вы активно обнаруживаете брутфорс-атаки, увеличьте Account lockout duration и уменьшите число разрешённых попыток.

Факты: допустимый диапазон — от 1 до 99 999 минут. Это примерно до 69 дней в максимальном значении.

Когда этот метод не сработает

• Аккаунты домена (Domain accounts): локальные команды и secpol.msc не изменят настройки на контроллёре домена — нужно менять GPO.
• Удалённые учётные записи в Azure AD или при подключении к облачным шлюзам: управление через Azure Portal или соответствующие инструменты провайдера.
• Если у пользователя отключена локальная учётная запись или используется вход через внешний провайдер (SSO), параметр не применим.

Альтернативные подходы

• Использовать групповые политики (GPO) на контроллёре домена для массового управления.
• Включить централизованную систему мониторинга попыток входа и настроить автоматические оповещения/блокировки на сетевом уровне (WAF, IAM).
• Для больших организаций использовать MFA — многофакторная аутентификация снижает риск даже при слабых настройках счётчика.

Мини-плейбук для администратора и техподдержки

1. Диагностика: выполните net accounts и проверьте Lockout observation window и Lockout threshold.
2. Если нужно изменить только локально — примените secpol.msc или net accounts /lockoutwindow:<минуты>.
3. Проверьте Account lockout duration и Lockout threshold, чтобы избежать логических рассогласований.
4. Сообщите пользователю ожидаемое время восстановления и, при необходимости, выполните временную разблокировку учётной записи.
5. Зарегистрируйте изменение в журнале администрирования и при необходимости обновите GPO или документацию.

Роли и чек-листы

Администратор:

• Проверить текущие значения через secpol.msc или net accounts.
• Согласовать новые значения с политикой безопасности.
• Применить изменения и задокументировать.

Сотрудник поддержки:

• Уточнить у пользователя время и характер ошибки входа.
• Проверить, не доменный ли это аккаунт.
• При необходимости разблокировать аккаунт или перенаправить к администратору домена.

Пользователь:

• Проверить раскладку клавиатуры и состояние Caps Lock.
• Подождать указанное время или связаться с поддержкой для снятия блокировки.

Критерии приёмки

• Изменение сохраняется после перезагрузки системы.
• net accounts показывает новое значение Lockout observation window.
• Пользователь снова может пройти аутентификацию после установленного времени (если не превышен Lockout duration).

Безопасность и приватность

• Изменение времени сброса счётчика само по себе не раскрывает личные данные. Однако более мягкие настройки повышают риск успешных атак подбором пароля. Сочетайте с ограничением числа попыток и многофакторной аутентификацией.

Краткое резюме

• Выберите Local Security Policy (secpol.msc) для Pro/Enterprise/Education.
• Используйте net accounts /lockoutwindow:<минуты> для Home и систем без secpol.msc.
• Настройте Account lockout duration и Lockout threshold согласованно.
• Для доменных и облачных сред применяйте GPO или инструменты провайдера.

Важно: всегда документируйте изменения и оповещайте команду поддержки — это уменьшит число инцидентов и ускорит восстановление доступа.

Короткое объявление для команды (пример)

Если вы обновили настройки сброса счётчика блокировки учётных записей на рабочих станциях, сообщите об этом службе поддержки и укажите новое значение в внутренних инструкциях. Это снижает задержки при разблокировке пользователей и предотвращает неожиданные обращения в Helpdesk.