Прескачане към съдържанието

LsaIso.exe

Процес на WindowsMicrosoft Corporation

Термини за търсене в каталога: lsaiso, lsa isolated, isolated lsa, credential guard

WindowsСистемен компонент

Изолиран LSA. Когато Credential Guard е включен, този trustlet съхранява NTLM хешове и Kerberos билети във Virtual Secure Mode, далеч от lsass.exe.

Какво трябва да знаете

Това е Isolated LSA, а не второ копие на lsass.exe, което можете да прекратите за освобождаване на RAM.

LsaIso.exe се изпълнява като Isolated User Mode trustlet, когато Credential Guard е активиран. lsass.exe все още извършва автентикацията в нормалния свят. Тайните остават тук. Към него не може да бъде прикачен дебъгер.

Безопасен ли е?
Проверете пътя, подписа и издателя на изпълнявания файл. Самото име не може да гарантира безопасност.
Същото като lsass ли е?
Не. Този е изолиран
Трябва ли да го прекратя?
Не
Feex казва
Ако LsaIso е в списъка, Credential Guard върши работата, документирана от Microsoft. Не бих го прекратил за "ускоряване на влизането". Този процес е причината откраднатите дъмп файлове на lsass да се връщат празни.

Какво е LsaIso.exe?

LsaIso.exe е процесът Isolated LSA. Credential Guard премества тук хешовете на пароли и Kerberos TGT, за да направи паметта на нормалния lsass.exe по-малко полезна при кражба.

Какво прави?

Той комуникира с lsass.exe през ограничен RPC канал. Не хоства драйвери от трети страни. Не изобразява заключения екран.

Защо се изпълнява?

Компютърът има включени защита, базирана на виртуализация, и Credential Guard. Windows 11 активира това по подразбиране на хардуер, който отговаря на изискванията. Липсата на LsaIso обикновено означава, че Guard е изключен, а не че lsass е изчезнал.

Инспектирайте работещия екземпляр

В Windows PowerShell, тази заявка само за четене изброява съвпадащи идентификатори на процеси, времена на създаване и пътища на изпълними файлове на този компютър.

Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'LsaIso.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List

Липсата на резултат или недостъпен път е неубедителна. Защитените процеси могат да ограничат достъпа, а идентификаторите на процеси могат да бъдат използвани повторно. Пазете личните пътища локални.

Използвайте ръководство за идентификация на файлове за сравняване на подписи и метаданни на продукта. Само името на файл не може да установи безопасност.

Безопасен ли е?

Проверете този работещ файл

Очаква се Microsoft Isolated LSA trustlet, когато Credential Guard е включен. Случаен файл LsaIso.exe в Downloads не е този trustlet. Освен това не можете да направите полезен дъмп на този процес от потребителски режим.

Сравнете записаното местоположение с действителния файл. Познатата папка сама по себе си не установява самоличност.

C:\Windows\System32\LsaIso.exe

  • Очакван издател: Microsoft Corporation
  • Присъства, когато Credential Guard е активиран
  • Аналог в нормалния свят: lsass.exe

Мога ли да го прекратя?

Не

Прекратяването на LsaIso.exe се третира като срив на процес за сигурност. Това не е почистване на RAM. Microsoft документира високото натоварване на процесора като проблем с инжектиране от вендор, а не като цел за прекратяване.

Мога ли да го премахна?

Не

Не изтривайте LsaIso.exe. Изключвайте Credential Guard само с документирана политика, ако бизнес приложение е несъвместимо.

Трябва ли да стартира с Windows?

wininit стартира Isolated LSA със защитения път на процеса. Това не е квадратче за отметка в Startup Apps.

Измерване на използването на ресурсите

Измерете текущия процес, вместо да приемате универсална базова линия
CPU и памет Сравнете няколко наблюдения за един и същ PID и натоварване. Този запис няма независимо измерена универсална базова линия.
Диск и мрежа Припишете активността на действителния процес и текущата задача; само името на файл не установява очаквани дестинации или обем на трансфер.

Информация за файла

Информация за файла LsaIso.exe
Име на изпълнимия файл LsaIso.exe
Записан път на инсталация C:\Windows\System32\LsaIso.exe
Издател Microsoft Corporation
Проверка на подписа Инспектирайте действителния файл; този запис не удостоверява самоличността на неговия сертификат.

Често срещани проблеми

Високо натоварване на CPU от LsaIso

Microsoft посочва, че приложения, които инжектират DLL файлове или поставят APC на опашка в Isolated LSA, могат да го дестабилизират. Премахнете последния доставчик на сигурност или овърлей, преди да забраните Guard.

Празни дъмпове на lsass след "одит"

Това означава, че Credential Guard работи. Хешовете вече не са в lsass.

Отстраняване на неизправности

Поставете диагноза, преди да предприемете каквото и да било деструктивно действие.

Потвърдете, че Credential Guard е включен

System Information или msinfo32 показва Virtualization-based security. LsaIso трябва да съответства на това състояние.

Не прикачвайте дебъгер

IUM процесите отхвърлят нормалното дебъгване. Вместо това следвайте стъпките на Microsoft за елиминиране на софтуер от вендори.

Технически подробности

Технически подробности
Технически подробности за LsaIso.exe
Име на изображението LsaIso.exe
Роля Isolated LSA / Credential Guard trustlet

Проверете идентичността на работещ файл

Само името на файл не може да установи безопасност. Проверете действителния път, подписа и самоличността на продукта.

Източници и проверка

Записан етикет за източник: август 2026 г. Този етикет не установява независима проверка. Как проучваме.

Беше ли полезна тази статия?

Достатъчно е "да" или "не". Изберете причина, ако желаете, или добавете кратка бележка.

Беше ли полезна тази статия?