LsaIso.exe
Termini di ricerca del catalogo lsaiso, lsa isolated, isolated lsa, credential guard
LSA isolato. Quando Credential Guard e attivo, questo trustlet conserva gli hash NTLM e i ticket Kerberos in Virtual Secure Mode, separato da lsass.exe.
Cosa c'è da sapere
Questo e LSA isolato, non una seconda copia di lsass.exe da terminare per recuperare RAM.
LsaIso.exe viene eseguito come trustlet in modalita utente isolata quando Credential Guard e abilitato. lsass.exe continua ad autenticare nell'ambiente normale. I segreti rimangono qui. Non e possibile collegarvi un debugger.
- Sicuro?
- Controlla il percorso del file in esecuzione, la firma e il publisher. Il solo nome non basta a stabilire la sicurezza.
- E la stessa cosa di lsass?
- No. Questo e isolato
- Dovrei terminarlo?
- No
Che cos'e LsaIso.exe?
LsaIso.exe e il processo LSA isolato. Credential Guard sposta qui gli hash delle password e i TGT di Kerberos, rendendo meno utile il furto della memoria del normale lsass.exe.
Cosa fa?
Comunica con lsass.exe tramite un canale RPC con restrizioni. Non ospita driver di terze parti. Non disegna la schermata di blocco.
Perché è in esecuzione?
Il PC ha la sicurezza basata sulla virtualizzazione e Credential Guard attivi. Windows 11 li abilita per impostazione predefinita sull'hardware idoneo. L'assenza di LsaIso di solito significa che Guard e disattivato, non che lsass sia scomparso.
Ispeziona l'istanza in esecuzione
In Windows PowerShell, questa query di sola lettura elenca gli ID processo corrispondenti, i tempi di creazione e i percorsi eseguibili su questo PC.
Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'LsaIso.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List
Nessun risultato o un percorso inaccessibile è inconcludente. I processi protetti possono limitare l'accesso e gli ID processo possono essere riutilizzati. Mantieni i percorsi personali locali.
Usa la guida all'identità del file per confrontare firme e metadati del prodotto. Un nome file da solo non può stabilire la sicurezza.
È sicuro?
Verifica questo file in esecuzione
Un trustlet LSA isolato di Microsoft e previsto quando Credential Guard e attivo. Un LsaIso.exe casuale in Download non e quel trustlet. Inoltre, non e possibile eseguire un dump utile di questo processo dalla modalita utente.
Confronta la posizione registrata con il file effettivo. Una cartella familiare da sola non stabilisce l'identità.
C:\Windows\System32\LsaIso.exe
- Publisher previsto: Microsoft Corporation
- Presente quando Credential Guard e abilitato
- Controparte nell'ambiente normale: lsass.exe
Posso terminarlo?
No
Terminare LsaIso.exe e trattato come un errore di un processo di sicurezza. Non si tratta di una pulizia della memoria RAM. Microsoft documenta l'elevato utilizzo della CPU come un problema di inserimento del fornitore, non come un bersaglio da terminare.
Posso rimuoverlo?
No
Non eliminare LsaIso.exe. Disattiva Credential Guard solo tramite criteri documentati se un'applicazione line-of-business risulta incompatibile.
Dovrebbe avviarsi con Windows?
wininit avvia LSA isolato con il percorso del processo protetto. Non e una casella di controllo in App di avvio.
Misura l'uso delle risorse
| CPU e memoria | Confronta diverse osservazioni per lo stesso PID e carico di lavoro. Questa voce non ha una linea di base universale misurata in modo indipendente. |
|---|---|
| Disco e rete | Attribuisci l'attività al processo effettivo e all'attività corrente; un nome file da solo non stabilisce le destinazioni previste o il volume di trasferimento. |
Informazioni sul file
| Nome dell'eseguibile | LsaIso.exe |
|---|---|
| Percorso di installazione registrato | C:\Windows\System32\LsaIso.exe |
| Publisher | Microsoft Corporation |
| Controllo firma | Ispeziona il file effettivo; questa voce non certifica l'identità del suo certificato. |
Problemi comuni
CPU elevata su LsaIso
Microsoft indica che le app che inseriscono DLL o accodano APC in LSA isolato possono destabilizzarlo. Rimuovi l'ultimo fornitore di sicurezza o overlay prima di disabilitare Guard.
Dump di lsass vuoti dopo un'attivita di "audit"
Questo e il funzionamento regolare di Credential Guard. Gli hash non si trovano piu in lsass.
Risoluzione dei problemi
Esegui una diagnosi prima di apportare modifiche distruttive.
Conferma che Credential Guard sia attivo
System Information o msinfo32 mostra la sicurezza basata sulla virtualizzazione. LsaIso dovrebbe corrispondere a tale stato.
Non collegare un debugger
I processi IUM rifiutano il normale debug. Segui invece i passaggi di esclusione dei fornitori forniti da Microsoft.
Dettagli tecnici
Dettagli tecnici
| Nome immagine | LsaIso.exe |
|---|---|
| Ruolo | Trustlet LSA isolato / Credential Guard |
Verifica l'identita' di un file in esecuzione
Un nome file da solo non può stabilire la sicurezza. Verifica il percorso effettivo, la firma e l'identità del prodotto.
Fonti e verifica
Etichetta della fonte registrata: agosto 2026. Questa etichetta non costituisce una verifica indipendente. Come svolgiamo le ricerche.
- Microsoft Learn: Credential Guard · LsaIso archivia i segreti sotto VBS
- Microsoft Learn: processi IUM · I trustlet non possono subire injection
- Microsoft: utilizzo elevato della CPU da parte di LsaIso · Effetti collaterali dell'inserimento di APC e DLL
- Mappa dei processi di Foxhole · Campioni di prima parte su PC Windows. Non e' un benchmark di laboratorio.
- Microsoft Sysinternals: Sigcheck · Spiega come esaminare le firme dei file. Questo riferimento non stabilisce l'identità o la sicurezza di un particolare file in esecuzione.
- Microsoft: Get-CimInstance · Metodo di query dei processi locali di sola lettura.
- Microsoft: proprietà Win32_Process · Documenta ID processo, percorsi eseguibili, date di creazione e riutilizzo dell'ID padre.
Questo articolo è stato utile?
È sufficiente un sì o un no. Scegli un motivo, se desideri, o aggiungi una breve nota.
Grazie. Ci aiuta a migliorare questa pagina.