1. [Вікі](https://feex.it/wiki/) 2. [Працэсы](https://feex.it/wiki/process/) 3. [Працэсы бяспекі](https://feex.it/wiki/process/security/) 4. LsaIso.exe # LsaIso.exe Працэс Windows: Microsoft Corporation Пошукавыя тэрміны каталога lsaiso, lsa isolated, isolated lsa, credential guard Windows, Сістэмны кампанент Ізаляваны LSA. Калі ўключаны Credential Guard, гэты трастлет (trustlet) захоўвае хэшы NTLM і квіткі Kerberos у рэжыме Virtual Secure Mode, асобна ад lsass.exe. ## Што вам трэба ведаць Гэта ізаляваны LSA, а не другая копія lsass.exe, якую можна завяршыць дзеля вызвалення аператыўнай памяці. LsaIso.exe працуе як трастлет у Isolated User Mode, калі ўключаны Credential Guard. Аўтэнтыфікацыю ў звычайным асяроддзі па-ранейшаму выконвае lsass.exe. Сакрэтныя даныя захоўваюцца тут. Да яго немагчыма падключыць адладчык. - **Бяспечны?**: Праверце шлях запушчанага файла, лічбавы подпіс і выдаўца. Адно толькі імя не можа гарантаваць бяспеку. **Ці тое самае, што і lsass?**: Не. Гэты працэс ізаляваны **Ці варта яго спыняць?**: Не Feex паведамляе Калі LsaIso ёсць у спісе, Credential Guard выконвае працу, задакументаваную Microsoft. Я б не стаў завяршаць яго, каб "паскорыць уваход у сістэму". Гэты працэс - прычына, чаму скрадзеныя дампы lsass аказваюцца пустымі. ## Што такое LsaIso.exe? LsaIso.exe - гэта працэс Isolated LSA. Credential Guard перамяшчае хэшы пароляў і квіткі Kerberos TGT сюды, каб выкраданне даных з памяці звычайнага lsass.exe было менш карысным. ## Што ён робіць? Ён узаемадзейнічае з lsass.exe праз абмежаваны канал RPC. Ён не змяшчае драйвераў іншых вытворцаў. Ён не адлюстроўвае экран блакіроўкі. ## Чаму ён працуе? На ПК уключаны бяспека на аснове віртуалізацыі і Credential Guard. Windows 11 уключае іх па змаўчанні на сумяшчальным абсталяванні. Адсутнасць LsaIso звычайна азначае, што Guard выключаны, а не тое, што lsass знік. ## Праверце запушчаны працэс У Windows PowerShell гэты запытваемы запіс са спісам ідэнтыфікатараў працэсаў, часу стварэння і шляхоў выкананых файлаў на гэтым ПК. `Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'LsaIso.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List` Адсутнасць выніку або недаступны шлях з'яўляюцца непераканаўчымі. Абароненыя працэсы могуць абмяжоўваць доступ, а ідэнтыфікатары працэсаў могуць паўторна выкарыстоўвацца. Захоўвайце асабістыя шляхі лакальнымі. Выкарыстоўвайце [даведнік па ідэнтыфікацыі файлаў](https://feex.it/wiki/l/be/software/system/verify-executable-path-signature/) для параўнання подпісаў і метаданых прадукту. Адзін толькі файл не можа вызначыць бяспеку. ## Ці ён бяспечны? Праверце гэты запушчаны файл Прысутнасць трастлета Microsoft Isolated LSA чакаецца, калі ўключаны Credential Guard. Выпадковы LsaIso.exe у папцы "Спампоўкі" не з'яўляецца гэтым трастлетам. Таксама немагчыма карысна стварыць дамп гэтага працэсу з карыстальніцкага рэжыму. Параўноўвайце запісанае месцазнаходжанне з фактычным файлам. Знаёмая папка сама па сабе не ўстанаўлівае ідэнтычнасць. `C:\Windows\System32\LsaIso.exe` - Чаканы выдавец: Microsoft Corporation - Прысутнічае, калі ўключаны Credential Guard - Аналаг у звычайным асяроддзі: lsass.exe ## Ці магу я завяршыць яго? Не Завяршэнне LsaIso.exe расцэньваецца як збой працэсу бяспекі. Гэта не ачыстка аператыўнай памяці. Microsoft дакументуе высокую нагрузку на працэсар як праблему ін'екцый старонніх распрацоўшчыкаў, а не як падставу для прымусовага завяршэння. ## Ці магу я выдаліць яго? Не Не выдаляйце LsaIso.exe. Адключайце Credential Guard толькі праз задакументаваную палітыку, калі карпаратыўная праграма несумяшчальная. ## Ці павінен ён запускацца разам з Windows? wininit запускае Isolated LSA праз шлях бяспечнага працэсу. Гэта не пункт у наладах аўтазагрузкі праграм. ## Вымярайце выкарыстанне рэсурсаў | Працэсар і памяць | Параўноўвайце некалькі назіранняў для аднаго і таго ж PID і працоўнай нагрузкі. Гэты запіс не мае незалежна вымеранай універсальнай базавай лініі. | | ----------------- | -------------------------------------------------------------------------------------------------------------------------------------------------- | | Дыск і сетка | Прыпісвайце актыўнасць фактычнаму працэсу і бягучай задачы; адзін толькі файл не ўстанаўлівае чаканыя прызначэнні або аб'ём перадачы. | ## Інфармацыя пра файл | Імя выканальнага файла | LsaIso.exe | | ----------------------- | ------------------------------------------------------------------------------ | | Запісаны шлях устаноўкі | C:\Windows\System32\LsaIso.exe | | Выдавец | Microsoft Corporation | | Праверка подпісу | Праверце фактычны файл; гэты запіс не пацвярджае ідэнтычнасць яго сертыфіката. | ## Распаўсюджаныя праблемы ### Высокая нагрузка на працэсар з-за LsaIso Паводле Microsoft, праграмы, якія ўкараняюць DLL або ставяць у чаргу APC у працэс Isolated LSA, могуць парушаць яго стабільнасць. Выключыце апошнія праграмы бяспекі або аверлэі перад адключэннем Guard. ### Пустыя дампы lsass пасля "аўдыту" Гэта праца Credential Guard. Хэшаў больш няма ў lsass. ## Пошук і ліквідацыя непаладак Выканайце дыягностыку, перш чым рабіць якія-небудзь дэструктыўныя дзеянні. ### Пераканайцеся, што Credential Guard уключаны Раздзел "Звесткі аб сістэме" або msinfo32 адлюстроўвае стан бяспекі на аснове віртуалізацыі. LsaIso павінен адпавядаць гэтаму стану. ### Не падключайце адладчык Працэсы IUM адхіляюць звычайную адладку. Замест гэтага выканайце рэкамендацыі Microsoft па выключэнні праграм іншых вытворцаў. ## Тэхнічныя падрабязнасці Тэхнічныя падрабязнасці | Імя вобраза | LsaIso.exe | | ----------- | ---------------------------------------- | | Роля | Трастлет Isolated LSA / Credential Guard | ## Праверце ідэнтычнасць запушчанага файла Адзін толькі файл не можа вызначыць бяспеку. Праверце фактычны шлях, подпіс і ідэнтычнасць прадукту. ## Звязанае Гэтыя аб'екты звязаны з гэтым артыкулам. Тып пазначаны на кожнай спасылцы. [lsass.exe: Працэс Windows](https://feex.it/wiki/l/be/process/lsass.exe/)[Secure System: Працэс Windows](https://feex.it/wiki/l/be/process/secure-system/)[Што такое працэс Windows: Кіраўніцтва](https://feex.it/wiki/l/be/software/system/what-is-a-windows-process/)[Праверце шлях выкананага файла і лічбавы подпіс: Кіраўніцтва](https://feex.it/wiki/l/be/software/system/verify-executable-path-signature/)[Прачытайце Дыспетчар задач і параўнайце актыўнасць працэсу: Кіраўніцтва](https://feex.it/wiki/l/be/software/system/how-to-read-task-manager/)[Працэсы бяспекі: Катэгорыя](https://feex.it/wiki/process/security/) ## Крыніцы і праверка Зафіксаваная пазнака крыніцы: жнівень 2026. Гэтая пазнака не пацвярджае незалежную праверку. [Як мы даследуем](https://feex.it/wiki/research/). - [Microsoft Learn: Credential Guard ](https://learn.microsoft.com/windows/security/identity-protection/credential-guard/how-it-works)· LsaIso захоўвае сакрэты пад абаронай VBS - [Microsoft Learn: працэсы IUM ](https://learn.microsoft.com/windows/win32/procthread/isolated-user-mode--ium--processes)· У трастлеты немагчыма ўкараніць код - [Microsoft: высокая нагрузка на працэсар праз LsaIso ](https://learn.microsoft.com/troubleshoot/windows-client/performance/lsaiso-process-high-cpu-usage)· Пабочныя эфекты ін'екцый APC і DLL - [Карта працэсаў Foxhole ](https://foxhole.feex.it/)· Уласныя ўзоры на ПК з Windows. Не лабараторны тэст. - [Microsoft Sysinternals: Sigcheck ](https://learn.microsoft.com/en-us/sysinternals/downloads/sigcheck)· Тлумачыць, як правяраць лічбавыя подпісы файлаў. Гэтая спасылка не пацвярджае сапраўднасць або бяспеку канкрэтнага запушчанага файла. - [Microsoft: Get-CimInstance ](https://learn.microsoft.com/en-us/powershell/module/cimcmdlets/get-ciminstance)· Метад запыту лакальных працэсаў толькі для чытання. - [Microsoft: Win32_Process properties ](https://learn.microsoft.com/en-us/windows/win32/cimwin32prov/win32-process)· Дакументуе ідэнтыфікатары працэсаў, шляхі выкананых файлаў, даты стварэння і паўторнае выкарыстанне ідэнтыфікатара бацькоўскага працэсу. ## Ці быў гэты артыкул карысным? Дастаткова адказаць "так" або "не". Выберыце прычыну, калі хочаце, або дадайце кароткую нататку. Кароткія факты Кароткая інфармацыя пра гэтую старонку. Характарыстыкі, крыніцы і поўная гісторыя застаюцца ў артыкуле. - **Тып**: Працэс Windows **Выдавец**: Microsoft Corporation **Выканальны файл**: LsaIso.exe **Тыповы шлях**: C:\Windows\System32\LsaIso.exe **Запішыце кантэкст**: Запіс у каталогу Feex Wiki **Звязаны працэс**: [lsass.exe](https://feex.it/wiki/l/be/process/lsass.exe/) Зарэгістраваны статус крыніцы: праверана Feex: Зафіксаваная пазнака крыніцы: жнівень 2026. Гэтая пазнака не пацвярджае незалежную праверку. --- Source: [Canonical Feex Wiki page](https://feex.it/wiki/l/be/process/lsaiso.exe/) [Developer guide](https://feex.it/wiki/developers/) | [API policy](https://feex.it/developers/api-policy/) | [Agent guidance](https://feex.it/wiki/llms.txt)