LsaIso.exe
Termos de pesquisa do catálogo lsaiso, lsa isolated, isolated lsa, credential guard
LSA Isolado. Quando o Credential Guard está ativado, este trustlet mantém hashes NTLM e tíquetes Kerberos no Virtual Secure Mode, longe do lsass.exe.
O que você precisa saber
Este é o LSA Isolado, não uma segunda cópia do lsass.exe que você pode encerrar para liberar RAM.
O LsaIso.exe roda como um trustlet no Modo de Usuário Isolado quando o Credential Guard está ativado. O lsass.exe ainda autentica no ambiente normal. Os segredos permanecem aqui. Não é possível anexar um depurador a ele.
- Seguro?
- Verifique o caminho, a assinatura e o fornecedor do arquivo em execução. O nome por si só não pode comprovar a segurança.
- É igual ao lsass?
- Não. Este é isolado
- Devo finalizá-lo?
- Não
O que é o LsaIso.exe?
O LsaIso.exe é o processo do LSA Isolado. O Credential Guard move hashes de senha e TGTs do Kerberos para cá para que a memória normal do lsass.exe seja menos útil para roubo.
O que ele faz?
Ele se comunica com o lsass.exe por meio de um canal RPC restrito. Ele não hospeda drivers de terceiros. Ele não desenha a tela de bloqueio.
Por que está em execução?
O PC possui segurança baseada em virtualização e o Credential Guard ativados. O Windows 11 habilita isso por padrão em hardwares qualificados. A ausência do LsaIso geralmente indica que o Guard está desligado, não que o lsass desapareceu.
Inspecione a instância em execução
No Windows PowerShell, esta consulta somente leitura lista IDs de processo correspondentes, tempos de criação e caminhos executáveis neste PC.
Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'LsaIso.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List
Nenhum resultado ou um caminho inacessível é inconclusivo. Processos protegidos podem restringir o acesso e IDs de processo podem ser reutilizados. Mantenha caminhos pessoais locais.
Use o guia de identidade de arquivo para comparar assinaturas e metadados do produto. Um nome de arquivo sozinho não pode estabelecer segurança.
Ele é seguro?
Verificar este arquivo em execução
Um trustlet do LSA Isolado da Microsoft é esperado quando o Credential Guard está ativado. Um LsaIso.exe aleatório em Downloads não é esse trustlet. Você também não consegue fazer um despejo útil deste processo a partir do modo de usuário.
Compare o local registrado com o arquivo real. Uma pasta familiar sozinha não estabelece identidade.
C:\Windows\System32\LsaIso.exe
- Fornecedor esperado: Microsoft Corporation
- Presente quando o Credential Guard está ativado
- Equivalente no ambiente normal: lsass.exe
Posso finalizá-lo?
Não
Encerrar o LsaIso.exe é tratado como uma falha de processo de segurança. Não é uma limpeza de RAM. A Microsoft documenta o alto uso de CPU como um problema de injeção de fornecedores, não um alvo para finalização.
Posso removê-lo?
Não
Não exclua o LsaIso.exe. Desative o Credential Guard apenas com uma política documentada se um aplicativo de linha de negócios for incompatível.
Ele deve iniciar com o Windows?
O wininit inicia o LSA Isolado com o caminho de processo seguro. Não é uma caixa de seleção de Aplicativos de Inicialização.
Meça o uso de recursos
| CPU e memória | Compare várias observações para o mesmo PID e carga de trabalho. Esta entrada não tem uma linha de base universal medida independentemente. |
|---|---|
| Disco e rede | Atribua atividade ao processo real e à tarefa atual; um nome de arquivo sozinho não estabelece destinos esperados ou volume de transferência. |
Informações do arquivo
| Nome do executável | LsaIso.exe |
|---|---|
| Caminho de instalação registrado | C:\Windows\System32\LsaIso.exe |
| Fornecedor | Microsoft Corporation |
| Verificação de assinatura | Inspecione o arquivo real; esta entrada não certifica a identidade do seu certificado. |
Problemas comuns
Alto uso de CPU no LsaIso
A Microsoft afirma que aplicativos que injetam DLLs ou enfileiram APCs no LSA Isolado podem desestabilizá-lo. Elimine o último fornecedor de segurança ou de sobreposição antes de desativar o Guard.
Despejos vazios do lsass após uma "auditoria"
Esse é o Credential Guard funcionando. Os hashes não estão mais no lsass.
Solução de problemas
Diagnostique antes de fazer qualquer alteração destrutiva.
Confirme se o Credential Guard está ativado
As Informações do Sistema ou o msinfo32 exibem a Segurança baseada em virtualização. O LsaIso deve corresponder a esse estado.
Não anexe um depurador
Processos IUM rejeitam depuração normal. Em vez disso, siga as etapas de eliminação de fornecedores da Microsoft.
Detalhes técnicos
Detalhes técnicos
| Nome da imagem | LsaIso.exe |
|---|---|
| Função | Trustlet do LSA Isolado / Credential Guard |
Verifique a identidade de um arquivo em execução
Um nome de arquivo sozinho não pode estabelecer segurança. Verifique o caminho real, a assinatura e a identidade do produto.
Fontes e verificação
Rótulo de fonte registrada: agosto de 2026. Este rótulo não comprova verificação independente. Como pesquisamos.
- Microsoft Learn: Credential Guard · O LsaIso armazena segredos sob o VBS
- Microsoft Learn: IUM processes · Trustlets não podem sofrer injeção
- Microsoft: Alto uso de CPU pelo LsaIso · Efeitos colaterais de injeção de APC e DLL
- Mapa de processos do Foxhole · Amostras proprietárias em computadores Windows. Não é um benchmark de laboratório.
- Microsoft Sysinternals: Sigcheck · Explica como inspecionar assinaturas de arquivo. Esta referência não estabelece a identidade ou segurança de um arquivo específico em execução.
- Microsoft: Get-CimInstance · Método de consulta de processo local somente leitura.
- Microsoft: Propriedades de Win32_Process · Documenta IDs de processo, caminhos executáveis, datas de criação e reutilização de ID pai.
Este artigo foi útil?
Um sim ou não é suficiente. Escolha um motivo se desejar, ou adicione uma breve observação.
Obrigado. Isso nos ajuda a melhorar esta página.