Μετάβαση στο περιεχόμενο

LsaIso.exe

Διεργασία των WindowsMicrosoft Corporation

Όροι αναζήτησης καταλόγου lsaiso, lsa isolated, isolated lsa, credential guard

WindowsΣτοιχείο συστήματος

Isolated LSA. Όταν το Credential Guard είναι ενεργοποιημένο, αυτό το trustlet διατηρεί τα NTLM hashes και τα Kerberos tickets στο Virtual Secure Mode, μακριά από το lsass.exe.

Τι πρέπει να γνωρίζετε

Αυτό είναι το Isolated LSA, όχι ένα δεύτερο αντίγραφο του lsass.exe που μπορείτε να τερματίσετε για εξοικονόμηση RAM.

Το LsaIso.exe εκτελείται ως trustlet Isolated User Mode όταν είναι ενεργοποιημένο το Credential Guard. Το lsass.exe εξακολουθεί να πραγματοποιεί έλεγχο ταυτότητας στον κανονικό κόσμο. Τα μυστικά παραμένουν εδώ. Δεν μπορείτε να προσαρτήσετε πρόγραμμα εντοπισμού σφαλμάτων σε αυτό.

Ασφαλές;
Ελέγξτε τη διαδρομή, την υπογραφή και τον εκδότη του εκτελούμενου αρχείου. Το όνομα από μόνο του δεν μπορεί να εγγυηθεί την ασφάλεια.
Ίδιο με το lsass;
Όχι. Αυτό είναι απομονωμένο
Πρέπει να το τερματίσω;
Όχι
Το Feex λέει
Εάν το LsaIso βρίσκεται στη λίστα, το Credential Guard κάνει τη δουλειά που τεκμηρίωσε η Microsoft. Δεν θα το τερμάτιζα για να "επιταχύνω τη σύνδεση". Αυτή η διεργασία είναι ο λόγος για τον οποίο τα κλεμμένα lsass dumps επιστρέφουν κενά.

Τι είναι το LsaIso.exe;

Το LsaIso.exe είναι η διεργασία Isolated LSA. Το Credential Guard μεταφέρει τα password hashes και τα Kerberos TGTs εδώ, ώστε η κανονική μνήμη του lsass.exe να είναι λιγότερο χρήσιμη για κλοπή.

Τι κάνει;

Επικοινωνεί με το lsass.exe μέσω ενός περιορισμένου καναλιού RPC. Δεν φιλοξενεί προγράμματα οδήγησης τρίτων. Δεν σχεδιάζει την οθόνη κλειδώματος.

Γιατί εκτελείται;

Ο υπολογιστής έχει ενεργοποιημένη την ασφάλεια βάσει εικονικοποίησης και το Credential Guard. Τα Windows 11 το ενεργοποιούν από προεπιλογή σε υλικό που πληροί τις προϋποθέσεις. Η απουσία του LsaIso συνήθως σημαίνει ότι το Guard είναι απενεργοποιημένο, όχι ότι το lsass εξαφανίστηκε.

Επιθεωρήστε την εκτελούμενη παρουσία

Στο Windows PowerShell, αυτό το ερώτημα μόνο για ανάγνωση παραθέτει τα αντίστοιχα αναγνωριστικά διεργασιών, τους χρόνους δημιουργίας και τις διαδρομές εκτελέσιμων αρχείων σε αυτόν τον υπολογιστή.

Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'LsaIso.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List

Κανένα αποτέλεσμα ή μη προσβάσιμη διαδρομή είναι ασαφές. Οι προστατευμένες διεργασίες ενδέχεται να περιορίζουν την πρόσβαση και τα αναγνωριστικά διεργασιών μπορούν να επαναχρησιμοποιηθούν. Διατηρήστε τις προσωπικές διαδρομές τοπικές.

Χρησιμοποιήστε τον οδηγό αναγνώρισης αρχείου για να συγκρίνετε υπογραφές και μεταδεδομένα προϊόντος. Ένα όνομα αρχείου από μόνο του δεν μπορεί να διασφαλίσει την ασφάλεια.

Είναι ασφαλές;

Επαληθεύστε αυτό το εκτελούμενο αρχείο

Ένα trustlet Isolated LSA της Microsoft αναμένεται όταν το Credential Guard είναι ενεργοποιημένο. Ένα τυχαίο LsaIso.exe στις Λήψεις δεν είναι αυτό το trustlet. Επίσης, δεν μπορείτε να δημιουργήσετε χρήσιμο dump αυτής της διεργασίας από το user mode.

Συγκρίνετε την καταγεγραμμένη τοποθεσία με το πραγματικό αρχείο. Ένας οικείος φάκελος από μόνος του δεν εδραιώνει την ταυτότητα.

C:\Windows\System32\LsaIso.exe

  • Αναμενόμενος εκδότης: Microsoft Corporation
  • Παρόν όταν το Credential Guard είναι ενεργοποιημένο
  • Αντίστοιχο στον κανονικό κόσμο: lsass.exe

Μπορώ να το τερματίσω;

Όχι

Ο τερματισμός του LsaIso.exe αντιμετωπίζεται ως αποτυχία διεργασίας ασφαλείας. Δεν είναι εκκαθάριση RAM. Η Microsoft τεκμηριώνει την υψηλή χρήση CPU ως πρόβλημα εισαγωγής προμηθευτή (vendor injection), όχι ως στόχο τερματισμού.

Μπορώ να το καταργήσω;

Όχι

Μην διαγράφετε το LsaIso.exe. Απενεργοποιήστε το Credential Guard μόνο με μια τεκμηριωμένη πολιτική, εάν μια επιχειρηματική εφαρμογή (line-of-business) δεν είναι συμβατή.

Πρέπει να ξεκινά με τα Windows;

Το wininit εκκινεί το Isolated LSA με τη διαδρομή ασφαλούς διεργασίας. Δεν είναι πλαίσιο ελέγχου στις Εφαρμογές εκκίνησης.

Μέτρηση χρήσης πόρων

Μετρήστε την τρέχουσα διεργασία αντί να υποθέσετε μια καθολική βάση αναφοράς
CPU και μνήμη Συγκρίνετε πολλές παρατηρήσεις για το ίδιο PID και φόρτο εργασίας. Αυτή η καταχώρηση δεν έχει ανεξάρτητα μετρημένη καθολική βάση αναφοράς.
Δίσκος και δίκτυο Αποδώστε τη δραστηριότητα στην πραγματική διεργασία και την τρέχουσα εργασία. ένα όνομα αρχείου από μόνο του δεν καθορίζει αναμενόμενους προορισμούς ή όγκο μεταφοράς.

Πληροφορίες αρχείου

Πληροφορίες αρχείου LsaIso.exe
Όνομα εκτελέσιμου LsaIso.exe
Καταγεγραμμένη διαδρομή εγκατάστασης C:\Windows\System32\LsaIso.exe
Εκδότης Microsoft Corporation
Έλεγχος υπογραφής Επιθεωρήστε το πραγματικό αρχείο. αυτή η καταχώρηση δεν πιστοποιεί την ταυτότητα του πιστοποιητικού της.

Συνήθη προβλήματα

Υψηλή χρήση CPU στο LsaIso

Η Microsoft αναφέρει ότι οι εφαρμογές που κάνουν inject DLL ή θέτουν σε ουρά APC στο Isolated LSA μπορούν να το αποσταθεροποιήσουν. Εξαλείψτε τον τελευταίο προμηθευτή ασφάλειας ή επικάλυψης προτού απενεργοποιήσετε το Guard.

Κενά lsass dumps μετά από έναν "έλεγχο"

Αυτό σημαίνει ότι το Credential Guard λειτουργεί. Τα hashes δεν βρίσκονται πλέον στο lsass.

Αντιμετώπιση προβλημάτων

Κάντε διάγνωση πριν προβείτε σε οποιαδήποτε καταστροφική ενέργεια.

Επιβεβαιώστε ότι το Credential Guard είναι ενεργοποιημένο

Οι Πληροφορίες συστήματος ή το msinfo32 εμφανίζουν την Ασφάλεια βάσει εικονικοποίησης. Το LsaIso θα πρέπει να αντιστοιχεί σε αυτήν την κατάσταση.

Μην προσαρτάτε πρόγραμμα εντοπισμού σφαλμάτων

Οι διεργασίες IUM απορρίπτουν τον κανονικό εντοπισμό σφαλμάτων. Ακολουθήστε τα βήματα εξάλειψης προμηθευτών της Microsoft αντ' αυτού.

Τεχνικές λεπτομέρειες

Τεχνικές λεπτομέρειες
Τεχνικές λεπτομέρειες LsaIso.exe
Όνομα εικόνας LsaIso.exe
Ρόλος Trustlet Isolated LSA / Credential Guard

Έλεγχος της ταυτότητας ενός εκτελούμενου αρχείου

Ένα όνομα αρχείου από μόνο του δεν μπορεί να διασφαλίσει την ασφάλεια. Επαληθεύστε την πραγματική διαδρομή, την υπογραφή και την ταυτότητα του προϊόντος.

Πηγές και επαλήθευση

Καταγεγραμμένη ετικέτα πηγής: Αύγουστος 2026. Αυτή η ετικέτα δεν καθορίζει ανεξάρτητη επαλήθευση. Πώς ερευνούμε.

  • Microsoft Learn: Credential Guard · Το LsaIso αποθηκεύει μυστικά υπό το VBS
  • Microsoft Learn: διεργασίες IUM · Δεν είναι δυνατή η έγχυση στα trustlets
  • Microsoft: LsaIso high CPU · Παρενέργειες APC και DLL injection
  • Χάρτης διεργασιών Foxhole · Δείγματα πρώτου μέρους σε υπολογιστές με Windows. Δεν αποτελεί εργαστηριακό σημείο αναφοράς.
  • Microsoft Sysinternals: Sigcheck · Εξηγεί πώς να ελέγχετε τις υπογραφές αρχείων. Αυτή η αναφορά δεν καθορίζει την ταυτότητα ή την ασφάλεια ενός συγκεκριμένου αρχείου που εκτελείται.
  • Microsoft: Get-CimInstance · Μέθοδος ερώτησης τοπικής διεργασίας μόνο για ανάγνωση.
  • Microsoft: Win32_Process properties · Τεκμηριώνει αναγνωριστικά διεργασιών, διαδρομές εκτελέσιμων αρχείων, ημερομηνίες δημιουργίας και επαναχρησιμοποίηση γονικού αναγνωριστικού.

Ήταν χρήσιμο αυτό το άρθρο;

Ένα ναι ή όχι είναι αρκετό. Επιλέξτε έναν λόγο εάν θέλετε ή προσθέστε μια σύντομη σημείωση.

Ήταν χρήσιμο αυτό το άρθρο;