LsaIso.exe

Proces systému WindowsMicrosoft Corporation

Vyhledávací výrazy v katalogu lsaiso, lsa isolated, isolated lsa, credential guard

WindowsSoučást systému

Izolovaný LSA. Když je zapnutý Credential Guard, tento trustlet uchovává hashe NTLM a lístky Kerberos ve Virtual Secure Mode, mimo dosah lsass.exe.

Co potřebujete vědět

Jedná se o izolovaný LSA, nikoli o druhou kopii lsass.exe, kterou můžete ukončit kvůli RAM.

LsaIso.exe běží jako trustlet v režimu Isolated User Mode, když je povolen Credential Guard. lsass.exe stále provádí ověřování v normálním světě. Tajné informace zůstávají zde. Nelze k němu připojit ladicí program.

Bezpečný?: Zkontrolujte cestu, podpis a vydavatele spuštěného souboru. Samotný název bezpečnost nezaručuje.
Stejné jako lsass?: Ne. Tento je izolovaný
Mám to ukončit?: Ne

Feex uvádí

Pokud je LsaIso v seznamu, Credential Guard dělá přesně to, co Microsoft zdokumentoval. Neukončoval bych ho kvůli „zrychlení přihlášení“. Tento proces je důvodem, proč jsou odcizené výpisy paměti lsass prázdné.

Co je LsaIso.exe?

LsaIso.exe je proces izolovaného LSA. Credential Guard sem přesouvá hashe hesel a TGT lístky Kerberos, takže běžná paměť lsass.exe je pro krádež méně užitečná.

Co dělá?

Komunikuje s lsass.exe přes omezený kanál RPC. Nehostuje ovladače třetích stran. Nevykresluje zamykací obrazovku.

Proč běží?

Počítač má zapnuté zabezpečení založené na virtualizaci a Credential Guard. Windows 11 to ve výchozím nastavení povoluje na vyhovujícím hardwaru. Absence LsaIso obvykle znamená, že je Guard vypnutý, nikoli že lsass zmizel.

Zkontrolovat běžící instanci

V prostředí Windows PowerShell tento dotaz pouze pro čtení zobrazí odpovídající ID procesů, časy vytvoření a cesty k spustitelným souborům na tomto PC.

Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'LsaIso.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List

Žádný výsledek nebo nepřístupná cesta jsou neprůkazné. Chráněné procesy mohou omezit přístup a ID procesů lze znovu použít. Uchovávejte osobní cesty lokálně.

Použijte průvodce identifikací souborů k porovnání podpisů a metadat produktu. Samotný název souboru nemůže potvrdit bezpečnost.

Je bezpečný?

Ověřte tento běžící soubor

Trustlet izolovaného LSA od Microsoftu se očekává, když je zapnutý Credential Guard. Náhodný LsaIso.exe ve složce Stažené soubory tímto trustletem není. Z uživatelského režimu také nelze tento proces smysluplně vypsat do dumpu.

Porovnejte zaznamenané umístění se skutečným souborem. Známá složka sama o sobě nepotvrzuje identitu.

C:\Windows\System32\LsaIso.exe

Očekávaný vydavatel: Microsoft Corporation
Přítomen, když je povolen Credential Guard
Sourozenec v normálním světě: lsass.exe

Mohu jej ukončit?

Ukončení LsaIso.exe se považuje za selhání bezpečnostního procesu. Nejde o uvolnění RAM. Microsoft dokumentuje vysoké využití procesoru jako problém s injektáží od jiných dodavatelů, nikoli jako cíl k ukončení.

Mohu jej odebrat?

Nemazejte LsaIso.exe. Credential Guard vypínejte pouze pomocí zdokumentovaných zásad, pokud je nekompatibilní s nějakou podnikovou aplikací.

Měl by se spouštět se systémem Windows?

wininit spouští izolovaný LSA se zabezpečenou cestou k procesu. Nejde o zaškrtávací políčko v aplikacích po spuštění.

Měření využití prostředků

Měřte aktuální proces spíše než předpokládat univerzální základní linii
CPU a paměť	Porovnejte několik pozorování pro stejné PID a pracovní zátěž. Tento záznam nemá nezávisle měřenou univerzální základní linii.
Disk a síť	Připisujte aktivitu skutečnému procesu a aktuální úloze; název souboru sám o sobě nestanovuje očekávané cíle ani objem přenosu.

Informace o souboru

Informace o souboru LsaIso.exe
Název spustitelného souboru	LsaIso.exe
Zaznamenaná cesta instalace	C:\Windows\System32\LsaIso.exe
Vydavatel	Microsoft Corporation
Kontrola podpisu	Zkontrolujte skutečný soubor; tento záznam necertifikuje identitu jeho certifikátu.

Běžné problémy

Vysoké využití procesoru u LsaIso

Microsoft uvádí, že aplikace, které injektují knihovny DLL nebo řadí APC do izolovaného LSA, ho mohou destabilizovat. Než Guard zakážete, odstraňte naposledy přidaný bezpečnostní program nebo překryvnou vrstvu.

Prázdné výpisy lsass po „auditu“

To je práce nástroje Credential Guard. Hashe už v lsass nejsou.

Řešení potíží

Než provedete jakýkoli destruktivní krok, proveďte diagnostiku.

Ověřte, zda je zapnutý Credential Guard

Informace o systému nebo msinfo32 zobrazují zabezpečení založené na virtualizaci. LsaIso by měl tomuto stavu odpovídat.

Nepřipojujte ladicí program

Procesy IUM běžné ladění odmítají. Místo toho postupujte podle pokynů společnosti Microsoft k odstranění softwaru třetích stran.

Technické podrobnosti

Technické podrobnosti o souboru LsaIso.exe
Název obrazu	LsaIso.exe
Role	Trustlet izolovaného LSA / Credential Guard

Zkontrolujte identitu běžícího souboru

Samotný název souboru nemůže potvrdit bezpečnost. Ověřte skutečnou cestu, podpis a identitu produktu.

Zdroje a ověření

Zaznamenané označení zdroje: srpen 2026. Toto označení nepředstavuje nezávislé ověření. Jak provádíme výzkum.

Microsoft Learn: Credential Guard · LsaIso ukládá tajné informace pod VBS
Microsoft Learn: Procesy IUM · Do trustletů nelze vkládat kód
Microsoft: Vysoké využití CPU u LsaIso · Vedlejší účinky injektáže APC a DLL
Mapa procesů Foxhole · Vzorky přímo ze zařízení se systémem Windows. Nejde o laboratorní srovnávací test.
Microsoft Sysinternals: Sigcheck · Vysvětluje, jak kontrolovat podpisy souborů. Tato reference nepotvrzuje identitu ani bezpečnost konkrétního spuštěného souboru.
Microsoft: Get-CimInstance · Metoda dotazování lokálních procesů pouze pro čtení.
Microsoft: Vlastnosti Win32_Process · Dokumentuje ID procesů, cesty k spustitelným souborům, data vytvoření a opětovné použití ID rodiče.

Byl tento článek užitečný?

Stačí ano nebo ne. Pokud chcete, vyberte důvod nebo přidejte krátkou poznámku.