Naar inhoud springen

LsaIso.exe

Windows-procesMicrosoft Corporation

Cataloguszoektermen lsaiso, lsa isolated, isolated lsa, credential guard

WindowsSysteemonderdeel

Geïsoleerde LSA. Wanneer Credential Guard is ingeschakeld, bewaart deze trustlet NTLM-hashes en Kerberos-tickets in Virtual Secure Mode, gescheiden van lsass.exe.

Wat u moet weten

Dit is Geïsoleerde LSA, geen tweede kopie van lsass.exe die u kunt beëindigen voor meer RAM.

LsaIso.exe wordt uitgevoerd als een Isolated User Mode-trustlet wanneer Credential Guard is ingeschakeld. lsass.exe verifieert nog steeds in de normale omgeving. Geheimen blijven hier. U kunt er geen debugger aan koppelen.

Veilig?
Controleer het pad, de handtekening en de uitgever van het actieve bestand. De naam alleen kan geen veiligheid aantonen.
Hetzelfde als lsass?
Nee. Deze is geïsoleerd
Moet ik het beëindigen?
Nee
Feex zegt
Als LsaIso in de lijst staat, voert Credential Guard de taak uit die Microsoft heeft gedocumenteerd. Ik zou het niet beëindigen om "het aanmelden te versnellen". Dat proces is de reden waarom gestolen lsass-dumps leeg zijn.

Wat is LsaIso.exe?

LsaIso.exe is het proces voor Geïsoleerde LSA. Credential Guard verplaatst wachtwoordhashes en Kerberos-TGT's hiernaartoe, zodat het geheugen van de normale lsass.exe minder bruikbaar is om te stelen.

Wat doet het?

Het communiceert met lsass.exe via een beperkt RPC-kanaal. Het host geen stuurprogramma's van derden. Het tekent het vergrendelingsscherm niet.

Waarom wordt het uitgevoerd?

De pc heeft op virtualisatie gebaseerde beveiliging en Credential Guard ingeschakeld. Windows 11 schakelt dit standaard in op hardware die hiervoor in aanmerking komt. Geen LsaIso betekent meestal dat Guard is uitgeschakeld, niet dat lsass is verdwenen.

Inspecteer de actieve instantie

In Windows PowerShell, deze alleen-lezen query toont overeenkomende proces-ID's, aanmaaktijden en uitvoerbare paden op deze pc.

Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'LsaIso.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List

Geen resultaat of een ontoegankelijk pad is niet doorslaggevend. Beveiligde processen kunnen toegang beperken en proces-ID's kunnen worden hergebruikt. Houd persoonlijke paden lokaal.

Gebruik de bestandsidentificatiegids om handtekeningen en productmetadata te vergelijken. Een bestandsnaam alleen kan geen veiligheid vaststellen.

Is het veilig?

Verifieer dit actieve bestand

Een Microsoft Geïsoleerde LSA-trustlet wordt verwacht wanneer Credential Guard is ingeschakeld. Een willekeurige LsaIso.exe in Downloads is niet die trustlet. U kunt dit proces ook niet effectief dumpen vanuit de gebruikersmodus.

Vergelijk de vastgelegde locatie met het daadwerkelijke bestand. Een bekende map alleen vestigt geen identiteit.

C:\Windows\System32\LsaIso.exe

  • Verwachte uitgever: Microsoft Corporation
  • Aanwezig wanneer Credential Guard is ingeschakeld
  • Tegenhanger in de normale omgeving: lsass.exe

Kan ik het beëindigen?

Nee

Het beëindigen van LsaIso.exe wordt beschouwd als een fout in een beveiligingsproces. Het is geen opschoning van RAM. Microsoft documenteert een hoog CPU-gebruik als een probleem met injecties van derden, niet als een doel om te beëindigen.

Kan ik het verwijderen?

Nee

Verwijder LsaIso.exe niet. Schakel Credential Guard alleen uit met een gedocumenteerd beleid als een line-of-business-app incompatibel is.

Moet het samen met Windows starten?

wininit start Geïsoleerde LSA met het beveiligde procespad. Het is geen selectievakje in Opstart-apps.

Meet resourcegebruik

Meet het huidige proces in plaats van uit te gaan van een universele basislijn
CPU en geheugen Vergelijk verschillende waarnemingen voor dezelfde PID en workload. Deze vermelding heeft geen onafhankelijk gemeten universele basislijn.
Schijf en netwerk Schrijf activiteit toe aan het daadwerkelijke proces en de huidige taak; een bestandsnaam alleen vestigt geen verwachte bestemmingen of overdrachtsvolume.

Bestandsinformatie

Bestandsinformatie over LsaIso.exe
Naam van uitvoerbaar bestand LsaIso.exe
Vastgelegd installatiepad C:\Windows\System32\LsaIso.exe
Uitgever Microsoft Corporation
Handtekeningcontrole Inspecteer het daadwerkelijke bestand; deze vermelding certificeert de identiteit van het certificaat niet.

Veelvoorkomende problemen

Hoog CPU-gebruik door LsaIso

Microsoft meldt dat apps die DLL's injecteren of APC's in de wachtrij plaatsen voor Geïsoleerde LSA, dit proces kunnen destabiliseren. Sluit eerst de beveiligings- of overlaysoftware van derden uit voordat u Guard uitschakelt.

Lege lsass-dumps na een "audit"

Dat is de werking van Credential Guard. De hashes bevinden zich niet meer in lsass.

Probleemoplossing

Stel een diagnose voordat u destructieve wijzigingen aanbrengt.

Controleer of Credential Guard is ingeschakeld

Systeeminformatie of msinfo32 toont Op virtualisatie gebaseerde beveiliging. LsaIso moet overeenkomen met die status.

Koppel geen debugger

IUM-processen weigeren normale foutopsporing. Volg in plaats daarvan de stappen van Microsoft om software van derden uit te sluiten.

Technische details

Technische details
Technische details van LsaIso.exe
Image-naam LsaIso.exe
Rol Geïsoleerde LSA / Credential Guard-trustlet

Controleer de identiteit van een actief bestand

Een bestandsnaam alleen kan geen veiligheid vaststellen. Verifieer het daadwerkelijke pad, de handtekening en de productidentiteit.

Bronnen en verificatie

Vastgelegd bronlabel: augustus 2026. Dit label vormt geen onafhankelijke verificatie. Hoe wij onderzoek doen.

Was dit artikel nuttig?

Een ja of nee is voldoende. Kies desgewenst een reden of voeg een korte opmerking toe.

Was dit artikel nuttig?