コンテンツへスキップ

LsaIso.exe

Windows プロセスMicrosoft Corporation

カタログ検索語 lsaiso, lsa isolated, isolated lsa, credential guard

Windowsシステム コンポーネント

Isolated LSA。Credential Guardが有効な場合、このトラストレットはNTLMハッシュとKerberosチケットを仮想セキュアモード（VSM）内に保持し、lsass.exeから分離します。

確認しておくべき要点

これはIsolated LSAであり、RAM解放のために終了できるlsass.exeの2つ目のコピーではありません。

LsaIso.exeは、Credential Guardが有効な場合に分離ユーザーモード（IUM）トラストレットとして実行されます。通常環境では依然としてlsass.exeが認証を行います。シークレットはここに保持されます。デバッガーをアタッチすることはできません。

安全性について
実行中のファイルのパス、署名、発行元を確認してください。名前だけでは安全性を確認できません。
lsassと同じですか？
いいえ。こちらは分離されています
終了すべきですか？
削除しないでください
Feex の見解
LsaIsoがリストにある場合、Credential GuardはMicrosoftが文書化したとおりの役割を果たしています。「ログオンを高速化する」ために終了することはありません。このプロセスが存在するおかげで、盗まれたlsassダンプは空の状態で返されます。

LsaIso.exeとは何か？

LsaIso.exeはIsolated LSAプロセスです。Credential GuardはパスワードハッシュとKerberos TGTをここに移動するため、通常のlsass.exeメモリを盗み出しても悪用価値が低減します。

どのような役割がありますか？

制限されたRPCチャネル経由でlsass.exeと通信します。サードパーティ製ドライバーをホストすることはありません。ロック画面を描画することもありません。

なぜ実行されているのですか？

PCで仮想化ベースのセキュリティおよびCredential Guardが有効になっています。Windows 11は、要件を満たすハードウェアでこれを既定で有効にします。LsaIsoが存在しない場合は、通常Guardがオフになっていることを意味し、lsassが消失したわけではありません。

実行中のインスタンスを検査する

Windows PowerShell では、この読み取り専用クエリは、この PC 上の一致するプロセス ID、作成時刻、および実行可能パスを一覧表示します。

Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'LsaIso.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List

結果がない、またはアクセスできないパスは、決定的なものではありません。保護されたプロセスはアクセスを制限する可能性があり、プロセス ID は再利用される可能性があります。個人用パスはローカルに保持してください。

使用する ファイル識別ガイド 署名と製品メタデータを比較します。ファイル名だけでは安全性を確立できません。

安全ですか？

実行中のファイルを確認する

Credential Guardが有効な場合、MicrosoftのIsolated LSAトラストレットが存在することが期待されます。「ダウンロード」フォルダーにあるランダムなLsaIso.exeはそのトラストレットではありません。また、ユーザーモードからこのプロセスの有用なダンプを取得することもできません。

記録された場所と実際のファイルを比較してください。見慣れたフォルダだけでは識別情報は確立されません。

C:\Windows\System32\LsaIso.exe

  • 想定される発行元: Microsoft Corporation
  • Credential Guardが有効な場合に存在
  • 通常環境における兄弟プロセス: lsass.exe

終了してもよいですか？

削除しないでください

LsaIso.exeの終了はセキュリティプロセスの障害として扱われます。RAMのクリーンアップではありません。Microsoftは高CPU使用率をキル対象ではなくベンダーのインジェクションの問題として文書化しています。

削除してもよいですか？

削除しないでください

LsaIso.exeを削除しないでください。基幹業務アプリに互換性がない場合にのみ、文書化されたポリシーを使用してCredential Guardをオフにしてください。

Windows と一緒に起動すべきですか？

wininitがセキュアプロセスパスを用いてIsolated LSAを起動します。スタートアップアプリのチェックボックスではありません。

リソース使用量を測定する

普遍的な基準を想定するのではなく、現在のプロセスを測定する
CPU とメモリ 同じ PID とワークロードに対する複数の観測値を比較してください。このエントリには、独立して測定された普遍的な基準はありません。
ディスクとネットワーク 実際のプロセスと現在のタスクにアクティビティを帰属させます。ファイル名だけでは、期待される宛先または転送量を確立できません。

ファイル情報

LsaIso.exe ファイル情報
実行可能ファイル名 LsaIso.exe
記録されたインストール パス C:\Windows\System32\LsaIso.exe
発行元 Microsoft Corporation
署名チェック 実際のファイルを検査してください。このエントリは、証明書の識別情報を認証しません。

よくある問題

LsaIsoの高CPU使用率

Microsoftによると、Isolated LSAにDLLを挿入したりAPCをキューに入れたりするアプリは、システムを不安定にする可能性があります。Guardを無効化する前に、直近に追加したセキュリティベンダーまたはオーバーレイベンダーを排除してください。

「監査」後の空のlsassダンプ

それはCredential Guardが機能している結果です。ハッシュはもはやlsass内に存在しません。

トラブルシューティング

破壊的な変更を行う前に診断を行ってください。

Credential Guardが有効であることを確認する

システム情報またはmsinfo32に「仮想化ベースのセキュリティ」が表示されます。LsaIsoはその状態と一致するはずです。

デバッガーをアタッチしないでください

IUMプロセスは通常のデバッグを拒絶します。代わりにMicrosoftのベンダー排除手順に従ってください。

技術的な詳細

技術的な詳細
LsaIso.exe 技術詳細
イメージ名 LsaIso.exe
役割 Isolated LSA / Credential Guardトラストレット

実行中ファイルの同一性を確認する

ファイル名だけでは安全性を確立できません。実際のパス、署名、および製品の識別情報を確認してください。

出典と検証

記録された出典ラベル: 2026年8月。このラベルは独立した検証を証明するものではありません。 調査方法.

この記事は役に立ちましたか？

「はい」または「いいえ」を選択するだけで完了します。必要に応じて理由を選択するか、簡単なメモを追加してください。

この記事は役に立ちましたか？