LsaIso.exe

Windows-procesMicrosoft Corporation

Katalogsøgetermer lsaiso, lsa isolated, isolated lsa, credential guard

WindowsSystemkomponent

Isoleret LSA. Når Credential Guard er slået til, opbevarer denne trustlet NTLM-hashes og Kerberos-billetter i Virtual Secure Mode, væk fra lsass.exe.

Hvad du behøver at vide

Dette er Isoleret LSA, ikke en ekstra kopi af lsass.exe, du kan lukke for at få mere RAM.

LsaIso.exe kører som en Isolated User Mode-trustlet, når Credential Guard er aktiveret. lsass.exe godkender stadig i den normale verden. Hemmeligheder bliver her. Du kan ikke tilknytte et fejlfindingsprogram til den.

Sikker?: Kontroller den kørende fils sti, signatur og udgiver. Navnet alene kan ikke fastslå sikkerheden.
Det samme som lsass?: Nej. Denne her er isoleret
Bør jeg afslutte den?: Nej

Feex siger

Hvis LsaIso er på listen, udfører Credential Guard den opgave, Microsoft har dokumenteret. Jeg ville ikke afslutte den for at "gøre logon hurtigere". Den proces er årsagen til, at stjålne lsass-dumps er tomme.

Hvad er LsaIso.exe?

LsaIso.exe er den isolerede LSA-proces. Credential Guard flytter adgangskode-hashes og Kerberos-TGT'er hertil, så den normale lsass.exe-hukommelse er mindre brugbar at stjæle.

Hvad gør den?

Den kommunikerer med lsass.exe via en begrænset RPC-kanal. Den er ikke vært for tredjepartsdrivere. Den tegner ikke låseskærmen.

Hvorfor kører den?

Pc'en har virtualiseringsbaseret sikkerhed og Credential Guard slået til. Windows 11 aktiverer det som standard på understøttet hardware. Fravær af LsaIso betyder normalt, at Guard er slået fra, ikke at lsass er forsvundet.

Inspicer den kørende instans

I Windows PowerShell viser denne skrivebeskyttede forespørgsel matchende proces-ID'er, oprettelsestider og eksekverbare stier på denne pc.

Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'LsaIso.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List

Intet resultat eller en utilgængelig sti er uafklarende. Beskyttede processer kan begrænse adgang, og proces-ID'er kan genbruges. Behold personlige stier lokalt.

Brug filidentifikationsvejledning til at sammenligne signaturer og produktmetadata. Et filnavn alene kan ikke fastslå sikkerhed.

Er den sikker?

Verificer denne kørende fil

En Microsoft Isoleret LSA-trustlet forventes, når Credential Guard er slået til. En tilfældig LsaIso.exe i Downloads er ikke denne trustlet. Du kan heller ikke med held dumpe denne proces fra brugertilstand.

Sammenlign den registrerede placering med den faktiske fil. En velkendt mappe alene fastslår ikke identitet.

C:\Windows\System32\LsaIso.exe

Forventet udgiver: Microsoft Corporation
Til stede, når Credential Guard er aktiveret
Modpart i den normale verden: lsass.exe

Kan jeg afslutte den?

Nej

At afslutte LsaIso.exe behandles som en fejl i en sikkerhedsproces. Det er ikke en oprydning i RAM. Microsoft dokumenterer højt CPU-forbrug som et problem med tredjepartsinjektion, ikke et mål, der skal afsluttes.

Kan jeg fjerne den?

Nej

Slet ikke LsaIso.exe. Slå kun Credential Guard fra via en dokumenteret politik, hvis et virksomhedsprogram er inkompatibelt.

Bør den starte med Windows?

wininit starter Isoleret LSA via den sikre processti. Det er ikke et afkrydsningsfelt i Startapps.

Mål ressourceforbrug

Mål den aktuelle proces snarere end at antage en universel baseline
CPU og hukommelse	Sammenlign flere observationer for den samme PID og arbejdsbyrde. Denne post har ingen uafhængigt målt universel baseline.
Disk og netværk	Tilskriv aktivitet til den faktiske proces og den aktuelle opgave; et filnavn alene fastslår ikke forventede destinationer eller overføringsvolumen.

Filoplysninger

Filoplysninger for LsaIso.exe
Navn på eksekverbar fil	LsaIso.exe
Registreret installationssti	C:\Windows\System32\LsaIso.exe
Udgiver	Microsoft Corporation
Signaturkontrol	Inspicer den faktiske fil; denne post certificerer ikke dens certifikatidentitet.

Almindelige problemer

Højt CPU-forbrug på LsaIso

Microsoft oplyser, at apps, der injicerer DLL'er eller sætter APC'er i kø i Isoleret LSA, kan gøre den ustabil. Eliminer den seneste sikkerheds- eller overlay-leverandør, før du deaktiverer Guard.

Tomme lsass-dumps efter en "sikkerhedskontrol"

Det er Credential Guard, der virker. Hashene ligger ikke længere i lsass.

Fejlfinding

Diagnosticer, før du ændrer noget destruktivt.

Bekræft, at Credential Guard er slået til

Systemoplysninger eller msinfo32 viser Virtualiseringsbaseret sikkerhed. LsaIso bør matche denne tilstand.

Tilknyt ikke et fejlfindingsprogram

IUM-processer afviser normal fejlfinding. Følg i stedet Microsofts trin til eliminering af tredjepartsprogrammer.

Tekniske detaljer

Tekniske detaljer om LsaIso.exe
Billednavn	LsaIso.exe
Rolle	Isoleret LSA / Credential Guard-trustlet

Kontroller identiteten på en kørende fil

Et filnavn alene kan ikke fastslå sikkerhed. Verificer den faktiske sti, signatur og produktidentitet.

Kilder og verificering

Registreret kildemærkat: August 2026. Denne mærkat udgør ikke uafhængig verificering. Sådan undersøger vi.

Microsoft Learn: Credential Guard · LsaIso gemmer hemmeligheder under VBS
Microsoft Learn: IUM-processer · Trustlets kan ikke injiceres
Microsoft: Højt CPU-forbrug på LsaIso · Bivirkninger ved APC- og DLL-injektion
Foxhole-procesoversigt · Førstepartsstikprøver på Windows-pc'er. Ikke en laboratorie-benchmark.
Microsoft Sysinternals: Sigcheck · Forklarer, hvordan man undersøger filsignaturer. Denne reference fastslår ikke identiteten eller sikkerheden af en specifik kørende fil.
Microsoft: Get-CimInstance · Skrivebeskyttet lokal procesforespørgselsmetode.
Microsoft: Win32_Process egenskaber · Dokumenterer proces-ID'er, eksekverbare stier, oprettelsesdatoer og genbrug af forældre-ID.

Var denne artikel nyttig?

Et ja eller nej er nok. Vælg en grund, hvis du vil, eller tilføj en kort bemærkning.