Перайсці да змесціва

LsaIso.exe

Працэс WindowsMicrosoft Corporation

Пошукавыя тэрміны каталога lsaiso, lsa isolated, isolated lsa, credential guard

WindowsСістэмны кампанент

Ізаляваны LSA. Калі ўключаны Credential Guard, гэты трастлет (trustlet) захоўвае хэшы NTLM і квіткі Kerberos у рэжыме Virtual Secure Mode, асобна ад lsass.exe.

Што вам трэба ведаць

Гэта ізаляваны LSA, а не другая копія lsass.exe, якую можна завяршыць дзеля вызвалення аператыўнай памяці.

LsaIso.exe працуе як трастлет у Isolated User Mode, калі ўключаны Credential Guard. Аўтэнтыфікацыю ў звычайным асяроддзі па-ранейшаму выконвае lsass.exe. Сакрэтныя даныя захоўваюцца тут. Да яго немагчыма падключыць адладчык.

Бяспечны?
Праверце шлях запушчанага файла, лічбавы подпіс і выдаўца. Адно толькі імя не можа гарантаваць бяспеку.
Ці тое самае, што і lsass?
Не. Гэты працэс ізаляваны
Ці варта яго спыняць?
Не
Feex паведамляе
Калі LsaIso ёсць у спісе, Credential Guard выконвае працу, задакументаваную Microsoft. Я б не стаў завяршаць яго, каб "паскорыць уваход у сістэму". Гэты працэс - прычына, чаму скрадзеныя дампы lsass аказваюцца пустымі.

Што такое LsaIso.exe?

LsaIso.exe - гэта працэс Isolated LSA. Credential Guard перамяшчае хэшы пароляў і квіткі Kerberos TGT сюды, каб выкраданне даных з памяці звычайнага lsass.exe было менш карысным.

Што ён робіць?

Ён узаемадзейнічае з lsass.exe праз абмежаваны канал RPC. Ён не змяшчае драйвераў іншых вытворцаў. Ён не адлюстроўвае экран блакіроўкі.

Чаму ён працуе?

На ПК уключаны бяспека на аснове віртуалізацыі і Credential Guard. Windows 11 уключае іх па змаўчанні на сумяшчальным абсталяванні. Адсутнасць LsaIso звычайна азначае, што Guard выключаны, а не тое, што lsass знік.

Праверце запушчаны працэс

У Windows PowerShell гэты запытваемы запіс са спісам ідэнтыфікатараў працэсаў, часу стварэння і шляхоў выкананых файлаў на гэтым ПК.

Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'LsaIso.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List

Адсутнасць выніку або недаступны шлях з'яўляюцца непераканаўчымі. Абароненыя працэсы могуць абмяжоўваць доступ, а ідэнтыфікатары працэсаў могуць паўторна выкарыстоўвацца. Захоўвайце асабістыя шляхі лакальнымі.

Выкарыстоўвайце даведнік па ідэнтыфікацыі файлаў для параўнання подпісаў і метаданых прадукту. Адзін толькі файл не можа вызначыць бяспеку.

Ці ён бяспечны?

Праверце гэты запушчаны файл

Прысутнасць трастлета Microsoft Isolated LSA чакаецца, калі ўключаны Credential Guard. Выпадковы LsaIso.exe у папцы "Спампоўкі" не з'яўляецца гэтым трастлетам. Таксама немагчыма карысна стварыць дамп гэтага працэсу з карыстальніцкага рэжыму.

Параўноўвайце запісанае месцазнаходжанне з фактычным файлам. Знаёмая папка сама па сабе не ўстанаўлівае ідэнтычнасць.

C:\Windows\System32\LsaIso.exe

  • Чаканы выдавец: Microsoft Corporation
  • Прысутнічае, калі ўключаны Credential Guard
  • Аналаг у звычайным асяроддзі: lsass.exe

Ці магу я завяршыць яго?

Не

Завяршэнне LsaIso.exe расцэньваецца як збой працэсу бяспекі. Гэта не ачыстка аператыўнай памяці. Microsoft дакументуе высокую нагрузку на працэсар як праблему ін'екцый старонніх распрацоўшчыкаў, а не як падставу для прымусовага завяршэння.

Ці магу я выдаліць яго?

Не

Не выдаляйце LsaIso.exe. Адключайце Credential Guard толькі праз задакументаваную палітыку, калі карпаратыўная праграма несумяшчальная.

Ці павінен ён запускацца разам з Windows?

wininit запускае Isolated LSA праз шлях бяспечнага працэсу. Гэта не пункт у наладах аўтазагрузкі праграм.

Вымярайце выкарыстанне рэсурсаў

Вымярайце бягучы працэс, а не прымайце ўніверсальную базавую лінію
Працэсар і памяць Параўноўвайце некалькі назіранняў для аднаго і таго ж PID і працоўнай нагрузкі. Гэты запіс не мае незалежна вымеранай універсальнай базавай лініі.
Дыск і сетка Прыпісвайце актыўнасць фактычнаму працэсу і бягучай задачы; адзін толькі файл не ўстанаўлівае чаканыя прызначэнні або аб'ём перадачы.

Інфармацыя пра файл

Інфармацыя аб файле LsaIso.exe
Імя выканальнага файла LsaIso.exe
Запісаны шлях устаноўкі C:\Windows\System32\LsaIso.exe
Выдавец Microsoft Corporation
Праверка подпісу Праверце фактычны файл; гэты запіс не пацвярджае ідэнтычнасць яго сертыфіката.

Распаўсюджаныя праблемы

Высокая нагрузка на працэсар з-за LsaIso

Паводле Microsoft, праграмы, якія ўкараняюць DLL або ставяць у чаргу APC у працэс Isolated LSA, могуць парушаць яго стабільнасць. Выключыце апошнія праграмы бяспекі або аверлэі перад адключэннем Guard.

Пустыя дампы lsass пасля "аўдыту"

Гэта праца Credential Guard. Хэшаў больш няма ў lsass.

Пошук і ліквідацыя непаладак

Выканайце дыягностыку, перш чым рабіць якія-небудзь дэструктыўныя дзеянні.

Пераканайцеся, што Credential Guard уключаны

Раздзел "Звесткі аб сістэме" або msinfo32 адлюстроўвае стан бяспекі на аснове віртуалізацыі. LsaIso павінен адпавядаць гэтаму стану.

Не падключайце адладчык

Працэсы IUM адхіляюць звычайную адладку. Замест гэтага выканайце рэкамендацыі Microsoft па выключэнні праграм іншых вытворцаў.

Тэхнічныя падрабязнасці

Тэхнічныя падрабязнасці
Тэхнічныя падрабязнасці LsaIso.exe
Імя вобраза LsaIso.exe
Роля Трастлет Isolated LSA / Credential Guard

Праверце ідэнтычнасць запушчанага файла

Адзін толькі файл не можа вызначыць бяспеку. Праверце фактычны шлях, подпіс і ідэнтычнасць прадукту.

Крыніцы і праверка

Зафіксаваная пазнака крыніцы: жнівень 2026. Гэтая пазнака не пацвярджае незалежную праверку. Як мы даследуем.

Ці быў гэты артыкул карысным?

Дастаткова адказаць "так" або "не". Выберыце прычыну, калі хочаце, або дадайце кароткую нататку.

Ці быў гэты артыкул карысным?