Перейти к содержимому

LsaIso.exe

Процесс WindowsMicrosoft Corporation

Термины поиска в каталоге: lsaiso, lsa isolated, isolated lsa, credential guard

WindowsСистемный компонент

Isolated LSA. При включенном Credential Guard этот trustlet хранит хэши NTLM и билеты Kerberos в режиме виртуальной безопасности (Virtual Secure Mode), отдельно от lsass.exe.

Что необходимо знать

Это Isolated LSA, а не вторая копия lsass.exe, которую можно завершить ради освобождения памяти.

LsaIso.exe работает как изолированный процесс пользовательского режима (trustlet в IUM), когда включен Credential Guard. lsass.exe по-прежнему выполняет аутентификацию в обычной среде. Секреты остаются здесь. К нему нельзя подключить отладчик.

Безопасен?
Проверьте путь к запущенному файлу, его цифровую подпись и издателя. Одно только имя не гарантирует безопасность.
То же самое, что lsass?
Нет. Этот процесс изолирован
Стоит ли завершать его?
Нет
Feex сообщает
Если LsaIso присутствует в списке, Credential Guard выполняет задачу, задокументированную Microsoft. Я бы не стал завершать его, чтобы «ускорить вход в систему». Благодаря этому процессу украденные дампы памяти lsass оказываются пустыми.

Что такое LsaIso.exe?

LsaIso.exe - это процесс Isolated LSA. Credential Guard переносит хэши паролей и TGT-билеты Kerberos сюда, чтобы кража содержимого обычной памяти lsass.exe была бесполезна.

Что он делает?

Он взаимодействует с lsass.exe по ограниченному каналу RPC. Он не загружает сторонние драйверы. Он не отрисовывает экран блокировки.

Почему он запущен?

На ПК включены безопасность на основе виртуализации и Credential Guard. Windows 11 включает эту функцию по умолчанию на совместимом оборудовании. Отсутствие LsaIso обычно означает, что Guard выключен, а не то, что lsass исчез.

Проверить запущенный экземпляр

В Windows PowerShell этот запрос только для чтения перечисляет соответствующие идентификаторы процессов, время создания и пути к исполняемым файлам на этом ПК.

Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'LsaIso.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List

Отсутствие результата или недоступный путь неубедительны. Защищенные процессы могут ограничивать доступ, а идентификаторы процессов могут повторно использоваться. Храните личные пути локально.

Используйте руководство по идентификации файлов для сравнения сигнатур и метаданных продукта. Одно только имя файла не может установить безопасность.

Безопасен ли он?

Проверьте этот запущенный файл

Изолированный trustlet LSA от Microsoft ожидаемо присутствует, когда включен Credential Guard. Случайный LsaIso.exe в папке «Загрузки» не является этим процессом. Создать полезный дамп этого процесса из пользовательского режима также невозможно.

Сравните записанное расположение с фактическим файлом. Знакомая папка сама по себе не устанавливает личность.

C:\Windows\System32\LsaIso.exe

  • Ожидаемый издатель: Microsoft Corporation
  • Присутствует, когда включен Credential Guard
  • Аналог в обычной среде: lsass.exe

Можно ли его завершить?

Нет

Завершение LsaIso.exe расценивается как сбой процесса безопасности. Это не способ очистки оперативной памяти. Повышенная нагрузка на ЦП описывается Microsoft как проблема внедрения кода сторонними программами, а не как повод принудительно завершать процесс.

Можно ли его удалить?

Нет

Не удаляйте LsaIso.exe. Отключайте Credential Guard только с помощью документированной политики, если несовместимо критически важное корпоративное приложение.

Должен ли он запускаться вместе с Windows?

wininit запускает Isolated LSA по защищенному пути создания процессов. Это не пункт в автозагрузке приложений.

Измерение использования ресурсов

Измерьте текущий процесс, а не предполагайте универсальную базовую линию
ЦП и память Сравните несколько наблюдений для одного и того же PID и рабочей нагрузки. Эта запись не имеет независимо измеренной универсальной базовой линии.
Диск и сеть Приписывайте активность фактическому процессу и текущей задаче; одно только имя файла не устанавливает ожидаемые назначения или объем передачи.

Сведения о файле

Сведения о файле LsaIso.exe
Имя исполняемого файла LsaIso.exe
Записанный путь установки C:\Windows\System32\LsaIso.exe
Издатель Microsoft Corporation
Проверка подписи Проверьте фактический файл; эта запись не удостоверяет личность его сертификата.

Распространенные проблемы

Высокая нагрузка на ЦП из-за LsaIso

Microsoft сообщает, что приложения, внедряющие библиотеки DLL или отправляющие асинхронные вызовы процедур (APC) в Isolated LSA, могут нарушать его стабильность. Прежде чем отключать Guard, исключите из работы недавно установленное защитное ПО или оверлеи сторонних поставщиков.

Пустые дампы памяти lsass после «аудита»

Это нормальная работа Credential Guard. Хэши больше не находятся в lsass.

Устранение неполадок

Проведите диагностику перед внесением деструктивных изменений.

Убедитесь, что функция Credential Guard включена

Утилита «Сведения о системе» или msinfo32 отображает состояние «Безопасность на основе виртуализации». Наличие LsaIso должно соответствовать этому состоянию.

Не подключайте отладчик

Процессы IUM отклоняют обычную отладку. Вместо этого следуйте рекомендациям Microsoft по изоляции стороннего ПО.

Технические подробности

Технические подробности
Технические сведения о LsaIso.exe
Имя образа LsaIso.exe
Роль Изолированный trustlet LSA / Credential Guard

Проверка подлинности работающего файла

Одно только имя файла не может установить безопасность. Проверьте фактический путь, подпись и идентификацию продукта.

Источники и проверка

Метка зарегистрированного источника: август 2026. Эта метка не гарантирует независимую проверку. Как мы проводим исследования.

Была ли эта статья полезна?

Достаточно ответа "да" или "нет". При желании выберите причину или оставьте короткую заметку.

Была ли эта статья полезна?