群晖反复报用户登录失败授权失败：先判断来源，再按官方清单收口
痛点场景
晚上十点，管理员的桌面通知连着弹出几条登录警告；打开日志中心，日志下是一条条"用户 [admin] 从 […] 通过 [DSM] 登录失败，原因是授权失败"。
这条消息在说什么
群晖存储系统自带自动封锁机制：既能防止用户帐户遭受暴力攻击，也会在检测到恶意登录尝试时发送通知。所以收到这条消息，说明两件事同时成立：
- 有来源在反复尝试用某个帐户登录，且没有通过授权；
- 机制看见了它、记了日志、发了通知——防线在工作，而不是被攻破的证据。授权失败意味着口令没有被试对，真正危险的反而是这类警告突然消失后的寂静。
先判断来源，别急着逐条对密码
- 来源地址是公网还是内网？公网来源多半意味着管理端口已经对互联网开放，被扫描器批量扫到；
- 尝试的通道是 DSM、FTP 还是其他服务？通道直接指出哪扇门开着；
- 内网来源同样要查：定时任务里写死的旧密码、离职同事留下的脚本、旧设备上保存的凭据，都会以同样的格式刷屏——这类不是攻击，但会淹没真正的告警。
判断完来源，再按官方教程建议的措施收口，顺序上先压缩暴露面，再加固帐号本身。
压缩暴露面：让尝试够不着
- 仅在路由器上为所需服务开放公共端口，用不到的服务一律不做映射；
- 更改默认管理端口，让按惯例扫端口的脚本扑空；
- 启用防火墙并创建防火墙规则，把管理入口限制在已知网段；
- 启用 DoS 保护，防住以量取胜的尝试方式；
- 系统启用 FTP 服务时，采用安全 FTP 的加密连接方式。
加固帐号：让试对也进不来
- 配置用户的权限设置，把用不到的权限收掉；
- 设置密码强度规则，并为帐号启用密码期限；
- 通过两步骤验证保护帐户——口令泄露之后还有第二道门；
- 启用自动封锁和帐户保护，让这套机制持续在线；
- 启用 HTTPS 连接，管理流量全程加密；
- 在公共电脑上使用系统时，启用浏览器的隐身模式或使用访客浏览功能，避免凭据留在本机。
收口后的例行确认
用安全顾问扫描系统，把这段时间可能出现的配置漂移找回来。这是官方在处置建议里排在前列的动作，适合作为每次处理完告警后的例行确认——也让下一次弹出警告时，你能确定它值得看。
接到这类告警工单时，诚鑫致达科技的处理动线是先查来源地址与通道、再收暴露面、最后补帐号加固——顺序不乱，告警才会真正停住，而不是被顺手静音。