LsaIso.exe
Términos de búsqueda del catálogo lsaiso, lsa isolated, isolated lsa, credential guard
LSA aislado. Cuando Credential Guard está activo, este trustlet contiene hashes NTLM y vales Kerberos en Virtual Secure Mode, lejos de lsass.exe.
Lo que necesita saber
Este es el LSA aislado, no una segunda copia de lsass.exe que pueda cerrar para liberar RAM.
LsaIso.exe se ejecuta como un trustlet de Isolated User Mode cuando Credential Guard está habilitado. lsass.exe aún se autentica en el entorno normal. Los secretos permanecen aquí. No puede adjuntarle un depurador.
- ¿Seguro?
- Compruebe la ruta, la firma y el editor del archivo en ejecución. El nombre por sí solo no puede determinar la seguridad.
- ¿Es lo mismo que lsass?
- No. Este está aislado
- ¿Debería finalizarlo?
- No
¿Qué es LsaIso.exe?
LsaIso.exe es el proceso de LSA aislado. Credential Guard traslada los hashes de contraseñas y los TGT de Kerberos aquí para que la memoria del lsass.exe normal sea menos útil de robar.
¿Qué hace?
Se comunica con lsass.exe a través de un canal RPC restringido. No aloja controladores de terceros. No dibuja la pantalla de bloqueo.
¿Por qué se está ejecutando?
El equipo tiene activadas la seguridad basada en virtualización y Credential Guard. Windows 11 habilita esto de forma predeterminada en el hardware compatible. La ausencia de LsaIso generalmente significa que Guard está desactivado, no que lsass haya desaparecido.
Inspeccionar la instancia en ejecución
En Windows PowerShell, esta consulta de solo lectura enumera los IDs de proceso coincidentes, los tiempos de creación y las rutas ejecutables en este PC.
Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'LsaIso.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List
Ningún resultado o una ruta inaccesible no es concluyente. Los procesos protegidos pueden restringir el acceso y los IDs de proceso pueden reutilizarse. Mantenga las rutas personales locales.
Use la guía de identidad de archivo para comparar firmas y metadatos del producto. Un nombre de archivo solo no puede establecer la seguridad.
¿Es seguro?
Verificar este archivo en ejecución
Se espera la presencia de un trustlet de LSA aislado de Microsoft cuando Credential Guard está activo. Un LsaIso.exe aleatorio en Descargas no es ese trustlet. Tampoco es posible realizar un volcado útil de este proceso desde el modo de usuario.
Compare la ubicación registrada con el archivo real. Una carpeta familiar sola no establece la identidad.
C:\Windows\System32\LsaIso.exe
- Editor esperado: Microsoft Corporation
- Presente cuando Credential Guard está habilitado
- Hermano en el entorno normal: lsass.exe
¿Puedo finalizarlo?
No
Finalizar LsaIso.exe se trata como un fallo del proceso de seguridad. No es una limpieza de RAM. Microsoft documenta el uso elevado de CPU como un problema de inyección de proveedores, no como un objetivo a finalizar.
¿Puedo eliminarlo?
No
No elimine LsaIso.exe. Desactive Credential Guard solo mediante una directiva documentada si una aplicación de línea de negocio es incompatible.
¿Debería iniciarse con Windows?
wininit inicia el LSA aislado con la ruta de proceso segura. No es una casilla en Aplicaciones de inicio.
Medir el uso de recursos
| CPU y memoria | Compare varias observaciones para el mismo PID y carga de trabajo. Esta entrada no tiene una línea de base universal medida de forma independiente. |
|---|---|
| Disco y red | Atribuya la actividad al proceso real y a la tarea actual; un nombre de archivo solo no establece los destinos esperados ni el volumen de transferencia. |
Información del archivo
| Nombre del ejecutable | LsaIso.exe |
|---|---|
| Ruta de instalación registrada | C:\Windows\System32\LsaIso.exe |
| Editor | Microsoft Corporation |
| Verificación de firma | Inspeccione el archivo real; esta entrada no certifica la identidad de su certificado. |
Problemas comunes
Uso elevado de CPU en LsaIso
Microsoft afirma que las aplicaciones que inyectan DLL o ponen APC en cola dentro del LSA aislado pueden desestabilizarlo. Descarte el último proveedor de seguridad o de superposiciones antes de deshabilitar Guard.
Volcados de lsass vacíos tras una "auditoría"
Así es como funciona Credential Guard. Los hashes ya no están en lsass.
Solución de problemas
Diagnostique antes de realizar cualquier cambio destructivo.
Confirme que Credential Guard esté activado
Información del sistema o msinfo32 muestra la Seguridad basada en virtualización. LsaIso debería coincidir con ese estado.
No adjunte un depurador
Los procesos IUM rechazan la depuración normal. En su lugar, siga los pasos de Microsoft para descartar proveedores.
Detalles técnicos
Detalles técnicos
| Nombre de la imagen | LsaIso.exe |
|---|---|
| Rol | Trustlet de LSA aislado / Credential Guard |
Comprobar la identidad de un archivo en ejecución
Un nombre de archivo solo no puede establecer la seguridad. Verifique la ruta real, la firma y la identidad del producto.
Fuentes y verificación
Etiqueta de fuente registrada: agosto de 2026. Esta etiqueta no establece una verificación independiente. Cómo investigamos.
- Microsoft Learn: Credential Guard · LsaIso almacena secretos bajo VBS
- Microsoft Learn: procesos IUM · Los trustlets no admiten inyección
- Microsoft: LsaIso high CPU · Efectos secundarios de inyección de APC y DLL
- Mapa de procesos de Foxhole · Muestras directas en PC con Windows. No es una prueba comparativa de laboratorio.
- Microsoft Sysinternals: Sigcheck · Explica cómo inspeccionar las firmas de archivos. Esta referencia no establece la identidad ni la seguridad de un archivo en ejecución en particular.
- Microsoft: Get-CimInstance · Método de consulta de procesos local de solo lectura.
- Microsoft: Win32_Process properties · Documenta IDs de proceso, rutas ejecutables, fechas de creación y reutilización de ID de padre.
¿Fue útil este artículo?
Un sí o un no es suficiente. Elija un motivo si lo desea o agregue una breve nota.
Gracias. Eso nos ayuda a mejorar esta página.