1. [Вики](https://feex.it/wiki/)
2. [Процессы](https://feex.it/wiki/process/)
3. [Процессы безопасности](https://feex.it/wiki/process/security/)
4. LsaIso.exe

# LsaIso.exe

Процесс Windows: Microsoft Corporation

Термины поиска в каталоге: lsaiso, lsa isolated, isolated lsa, credential guard

Windows, Системный компонент

Isolated LSA. При включенном Credential Guard этот trustlet хранит хэши NTLM и билеты Kerberos в режиме виртуальной безопасности (Virtual Secure Mode), отдельно от lsass.exe.

## Что необходимо знать

Это Isolated LSA, а не вторая копия lsass.exe, которую можно завершить ради освобождения памяти.

LsaIso.exe работает как изолированный процесс пользовательского режима (trustlet в IUM), когда включен Credential Guard. lsass.exe по-прежнему выполняет аутентификацию в обычной среде. Секреты остаются здесь. К нему нельзя подключить отладчик.

- **Безопасен?**: Проверьте путь к запущенному файлу, его цифровую подпись и издателя. Одно только имя не гарантирует безопасность.

  **То же самое, что lsass?**: Нет. Этот процесс изолирован

  **Стоит ли завершать его?**: Нет

Feex сообщает

Если LsaIso присутствует в списке, Credential Guard выполняет задачу, задокументированную Microsoft. Я бы не стал завершать его, чтобы «ускорить вход в систему». Благодаря этому процессу украденные дампы памяти lsass оказываются пустыми.

## Что такое LsaIso.exe?

LsaIso.exe - это процесс Isolated LSA. Credential Guard переносит хэши паролей и TGT-билеты Kerberos сюда, чтобы кража содержимого обычной памяти lsass.exe была бесполезна.

## Что он делает?

Он взаимодействует с lsass.exe по ограниченному каналу RPC. Он не загружает сторонние драйверы. Он не отрисовывает экран блокировки.

## Почему он запущен?

На ПК включены безопасность на основе виртуализации и Credential Guard. Windows 11 включает эту функцию по умолчанию на совместимом оборудовании. Отсутствие LsaIso обычно означает, что Guard выключен, а не то, что lsass исчез.

## Проверить запущенный экземпляр

В Windows PowerShell этот запрос только для чтения перечисляет соответствующие идентификаторы процессов, время создания и пути к исполняемым файлам на этом ПК.

`Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'LsaIso.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List`

Отсутствие результата или недоступный путь неубедительны. Защищенные процессы могут ограничивать доступ, а идентификаторы процессов могут повторно использоваться. Храните личные пути локально.

Используйте [руководство по идентификации файлов](https://feex.it/wiki/l/ru/software/system/verify-executable-path-signature/) для сравнения сигнатур и метаданных продукта. Одно только имя файла не может установить безопасность.

## Безопасен ли он?

Проверьте этот запущенный файл

Изолированный trustlet LSA от Microsoft ожидаемо присутствует, когда включен Credential Guard. Случайный LsaIso.exe в папке «Загрузки» не является этим процессом. Создать полезный дамп этого процесса из пользовательского режима также невозможно.

Сравните записанное расположение с фактическим файлом. Знакомая папка сама по себе не устанавливает личность.

`C:\Windows\System32\LsaIso.exe`

- Ожидаемый издатель: Microsoft Corporation
- Присутствует, когда включен Credential Guard
- Аналог в обычной среде: lsass.exe

## Можно ли его завершить?

Нет

Завершение LsaIso.exe расценивается как сбой процесса безопасности. Это не способ очистки оперативной памяти. Повышенная нагрузка на ЦП описывается Microsoft как проблема внедрения кода сторонними программами, а не как повод принудительно завершать процесс.

## Можно ли его удалить?

Нет

Не удаляйте LsaIso.exe. Отключайте Credential Guard только с помощью документированной политики, если несовместимо критически важное корпоративное приложение.

## Должен ли он запускаться вместе с Windows?

wininit запускает Isolated LSA по защищенному пути создания процессов. Это не пункт в автозагрузке приложений.

## Измерение использования ресурсов

| ЦП и память | Сравните несколько наблюдений для одного и того же PID и рабочей нагрузки. Эта запись не имеет независимо измеренной универсальной базовой линии. |
| ----------- | ------------------------------------------------------------------------------------------------------------------------------------------------- |
| Диск и сеть | Приписывайте активность фактическому процессу и текущей задаче; одно только имя файла не устанавливает ожидаемые назначения или объем передачи.   |

## Сведения о файле

| Имя исполняемого файла    | LsaIso.exe                                                                       |
| ------------------------- | -------------------------------------------------------------------------------- |
| Записанный путь установки | C:\Windows\System32\LsaIso.exe                                                   |
| Издатель                  | Microsoft Corporation                                                            |
| Проверка подписи          | Проверьте фактический файл; эта запись не удостоверяет личность его сертификата. |

## Распространенные проблемы

### Высокая нагрузка на ЦП из-за LsaIso

Microsoft сообщает, что приложения, внедряющие библиотеки DLL или отправляющие асинхронные вызовы процедур (APC) в Isolated LSA, могут нарушать его стабильность. Прежде чем отключать Guard, исключите из работы недавно установленное защитное ПО или оверлеи сторонних поставщиков.

### Пустые дампы памяти lsass после «аудита»

Это нормальная работа Credential Guard. Хэши больше не находятся в lsass.

## Устранение неполадок

Проведите диагностику перед внесением деструктивных изменений.

### Убедитесь, что функция Credential Guard включена

Утилита «Сведения о системе» или msinfo32 отображает состояние «Безопасность на основе виртуализации». Наличие LsaIso должно соответствовать этому состоянию.

### Не подключайте отладчик

Процессы IUM отклоняют обычную отладку. Вместо этого следуйте рекомендациям Microsoft по изоляции стороннего ПО.

## Технические подробности

Технические подробности

| Имя образа | LsaIso.exe                                    |
| ---------- | --------------------------------------------- |
| Роль       | Изолированный trustlet LSA / Credential Guard |

## Проверка подлинности работающего файла

Одно только имя файла не может установить безопасность. Проверьте фактический путь, подпись и идентификацию продукта.

## Связанное

Эти объекты связаны с данной статьей. Тип указан у каждой ссылки.

[lsass.exe: Процесс Windows](https://feex.it/wiki/l/ru/process/lsass.exe/)[Secure System: Процесс Windows](https://feex.it/wiki/l/ru/process/secure-system/)[Что представляет собой процесс Windows: Руководство](https://feex.it/wiki/l/ru/software/system/what-is-a-windows-process/)[Проверьте путь к исполняемому файлу и цифровую подпись: Руководство](https://feex.it/wiki/l/ru/software/system/verify-executable-path-signature/)[Прочтите Диспетчер задач и сравните активность процессов: Руководство](https://feex.it/wiki/l/ru/software/system/how-to-read-task-manager/)[Процессы безопасности: Категория](https://feex.it/wiki/process/security/)

## Источники и проверка

Метка зарегистрированного источника: август 2026. Эта метка не гарантирует независимую проверку. [Как мы проводим исследования](https://feex.it/wiki/research/).

- [Microsoft Learn: Credential Guard ](https://learn.microsoft.com/windows/security/identity-protection/credential-guard/how-it-works)· LsaIso хранит секреты под защитой VBS
- [Microsoft Learn: процессы IUM ](https://learn.microsoft.com/windows/win32/procthread/isolated-user-mode--ium--processes)· В трастлеты нельзя внедрить код
- [Microsoft: высокая нагрузка на ЦП из-за LsaIso ](https://learn.microsoft.com/troubleshoot/windows-client/performance/lsaiso-process-high-cpu-usage)· Побочные эффекты внедрения APC и DLL
- [Карта процессов Foxhole ](https://foxhole.feex.it/)· Собственные образцы с ПК под управлением Windows. Не является лабораторным бенчмарком.
- [Microsoft Sysinternals: Sigcheck ](https://learn.microsoft.com/en-us/sysinternals/downloads/sigcheck)· Описывает, как проверять цифровые подписи файлов. Этот справочный материал не подтверждает подлинность или безопасность конкретного запущенного файла.
- [Microsoft: Get-CimInstance ](https://learn.microsoft.com/en-us/powershell/module/cimcmdlets/get-ciminstance)· Метод запроса локальных процессов только для чтения.
- [Microsoft: Win32_Process properties ](https://learn.microsoft.com/en-us/windows/win32/cimwin32prov/win32-process)· Документирует идентификаторы процессов, пути к исполняемым файлам, даты создания и повторное использование родительского идентификатора.

## Была ли эта статья полезна?

Достаточно ответа "да" или "нет". При желании выберите причину или оставьте короткую заметку.

Краткие факты

Краткая характеристика этой страницы. Характеристики, источники и полная информация остаются в статье.

- **Тип**: Процесс Windows

  **Издатель**: Microsoft Corporation

  **Исполняемый файл**: LsaIso.exe

  **Типичный путь**: C:\Windows\System32\LsaIso.exe

  **Запись контекста**: Запись справки Feex Wiki

  **Связанный процесс**: [lsass.exe](https://feex.it/wiki/l/ru/process/lsass.exe/)

Зафиксированный статус источника: проверено Feex: Метка зарегистрированного источника: август 2026. Эта метка не гарантирует независимую проверку.

---

Source: [Canonical Feex Wiki page](https://feex.it/wiki/l/ru/process/lsaiso.exe/)

[Developer guide](https://feex.it/wiki/developers/) | [API policy](https://feex.it/developers/api-policy/) | [Agent guidance](https://feex.it/wiki/llms.txt)