由于FTP服务器经常被用作上传和下载文件的工具，其安全性具有不同的重要性。因为如果被非法攻击者攻破，不仅FTP服务器上的文件可能被破坏或窃取；更重要的是，如果他们下载病毒、木马，
它会给所有FTP用户带来潜在的威胁。因此，保护FTP服务器的安全迫在眉睫。
保护FTP服务器，要从其密码的安全性入手。笔者在这里谈一些常见FTP服务器的密码安全策略，帮助大家提高FTP服务器的安全性。
策略1:密码的持续时间
有时候FTP服务器不仅会被员工使用，还会临时给外部合作伙伴一个账号。比如作者在管理FTP服务器的时候，销售部门经常会发现有些文件比较大。
无法通过电子邮件发送，文件需要通过FTP服务器发送给客户。因此，当客户或供应商需要一些大文件时，作者必须给他们一个FTP服务器的临时帐户和密码。
笔者目前的做法是在FTP服务器上设置一个账号，但其密码当天有效，第二天自动失效。在这种情况下，当客户或供应商需要使用FTP服务器时，我只需要更改一些密码。不需要每次都使用它，
创建用户；用后删除。同时也可以避免临时账号没有及时注销给服务器带来的安全隐患，因为密码会自动过期。
大多数FTP服务器，比如微软操作系统自带的FTP服务器软件，都有密码到期管理的功能。一般来说，对于临时账号，我们可以结合账号和密码的期限管理来提高临时账号的安全性。对于内部用户，
也可以通过期限管理督促员工增加密码修改的频率。
策略2:密码必须符合复杂性规则。
目前很多银行为了用户账户的安全，都进行了一些密码复杂度认证。例如，不再接受888888形式的密码。从密码学角度来说，这种形式的密码非常危险。因为他们可以使用一些密码修改工具，
如密码电子词典等。可以很轻松的破解。
所以要提高密码本身的安全性，最简单的就是提高密码的复杂度。在FTP服务器中，可以通过密码复杂度规则强制用户采用一些安全级别更高的密码。具体来说，可以设置以下复杂性规则。
1.不能用纯数字或字符做密码。
如果黑客想破解一个FTP服务器的账号，所花费的时间与密码的构成直接相关。比如现在有一个八位密码，一个是纯数字组成，一个是数字和字符的组合。例如82372182和32dwl98s。
这两个密码看起来很像，但是和密码破解工具有很大区别。这种纯数字密码，可以通过一些先进的密码破解工具在24小时内破解。但是，对于后一种由字母和数字组合而成的密码，
需要2400小时或更长时间才能破解。比原来的至少难破解100倍。
可见字符和数字结合的密码是相当安全的。为此，我们可以在FTP服务器上进行设置，使其不接受纯数字或字符的密码设置。
2.密码不能与用户名相同。
其实我们都知道很多时候服务器被攻破是因为管理不当。相同的用户名和密码是FTP服务器最不安全的因素之一。
许多用户，包括网络管理员，喜欢将他们的密码和用户名设置为相同的，以便于记忆和管理。虽然用起来很方便，但显然是一个非常不安全的操作。根据密码攻击字典的设计思想，
它会先检查FTP服务器的账号密码是否为空；如果不是空的，它会尝试用相同用户名的密码破解。如果以上两个都失败了，那就试试其他可能的密码结构。
所以在黑客眼里，如果密码和用户名一样，就相当于没有设置密码。因此，在FTP服务器的密码安全策略中，也应执行禁止密码与密码一致的原则。
3、密码长度的要求
虽然说口令的安全跟密码的长度不成正比，但是，一般来说，口令长总比短好。如对于随机密码来说，破解7位的口令要比破解5位的口令难度增加几十倍，虽然说，其口令长度只是增加了两位。所以，
笔者在FTP服务器的口令策略中，强制用户的口令必须达到六位。若用户设置的口令低于六位的话，则服务器会拒绝用户密码更改的申请。
策略三：口令历史纪录
为了提高FTP服务器的安全，则为用户指定一个不能重复口令的时间间隔，这也是非常必要的。如笔者企业的FTP服务器中，有一个文件夹，是专门用来存放客户的订单信息，这方便相关人员在出差的时候，
可以及时的看到这方面的内容。这个文件夹中的资料是属于高度机密的。若这些内容泄露出去的话，则企业可能会失去大量的订单，从而给企业带来致命的影响。
所以，对于存放了这么敏感资料的FTP服务器，在安全性方面笔者是不敢小视。为此，笔者就启用了口令历史纪录功能。根据这个策略，用户必须每隔一个星期更改一次FTP服务器密码。同时，用户在60天之内，
不能够重复使用这个密码。也就是说，启用了口令历史纪录功能之后，FTP服务器会纪录用户两个月内使用过的密码。若用户新设置的密码在两个月内用过的话，则服务器就会拒绝用户的密码更改申请。
可见，口令史纪录功能可以在一定程度上提高FTP服务器口令的安全性。
策略四：账户锁定策略
从理论上来说，再复杂的密码，也有被电子字典攻破的可能。为此，我们除了要采用以上这些策略外，还需要启用ldquo;帐户锁定策略rdquo;这个策略可以有效的避免不法之徒的密码攻击。
帐户锁定策略是指当一个用户超过了指定的失败登陆次数时，服务器就会自动的锁定这个帐号，并向管理员发出警告。通过这个策略，当不法人士试图尝试不同的口令登陆FTP服务器时，
由于其最多只能够尝试三次（假如管理员设置失败的登陆次数最多为3），则这个帐号就会被锁定。这就会让他们的密码攻击无效。
在采用帐户锁定策略时，需要注意几个方面的内容。
一是采用手工解禁还是自动解禁。若采用手工解禁的话，则被锁住的账户必须有管理员手工解禁。而若设置为自动解禁的话，则当帐户锁住满一定期限的时候，服务器会自动帮这个帐号进行解锁。
若对于服务器的安全性要求比较高的话，则笔者建议采用手工解禁的方式比较好。
二是错误登陆的次数设置。若这个次数设置的太多，不能够起到保护的作用。若设置的太少的话，则用户可能因为疏忽密码输入错误，而触发帐户锁定，从而给服务器管理员凭空增加不少的工作量。为此，笔者的意见是，
一般可以把这个次数设置为三到五次。这既可以保证安全性的需要，而且也给用户密码输入错误提供了一定的机会。
三是遇到帐户锁定情况时，要能够自动向服务器管理员发出警报。因为作为FTP服务器来说，其不能够辨别这是恶意攻击事件还是一个偶然事件。这需要服务器管理员根据经验来进行判断。
FTP服务器只能够提供暂时的保护作用。所以，当出现帐户锁定的情况时，服务器要能够向管理员发出警报，让其判断是否存在恶意攻击。若存在的话，则就需采取相应的措施来避免这种情况的再次发生。