LsaIso.exe
Kľúčové slová katalógu lsaiso, lsa isolated, isolated lsa, credential guard
Izolovaný proces LSA. Keď je zapnutá funkcia Credential Guard, tento trustlet uchováva hashe NTLM a lístky Kerberos vo virtuálnom zabezpečenom režime, mimo dosahu lsass.exe.
Čo potrebujete vedieť
Toto je izolovaný proces LSA, nie druhá kópia lsass.exe, ktorú môžete ukončiť na uvoľnenie pamäte RAM.
LsaIso.exe beží ako trustlet v izolovanom používateľskom režime, keď je povolená funkcia Credential Guard. lsass.exe naďalej overuje v bežnom svete. Tajné údaje zostávajú tu. Nemôžete k nemu pripojiť ladiaci program.
- Bezpečný?
- Skontrolujte cestu, podpis a vydavateľa spusteného súboru. Samotný názov nemôže potvrdiť bezpečnosť.
- Je to to isté ako lsass?
- Nie. Tento proces je izolovaný
- Mám ho ukončiť?
- Nie
Čo je LsaIso.exe?
LsaIso.exe je izolovaný proces LSA. Credential Guard sem presúva hashe hesiel a lístky Kerberos TGT, aby bola pamäť bežného procesu lsass.exe pri krádeži menej použiteľná.
Čo robí?
Komunikuje s lsass.exe prostredníctvom obmedzeného kanála RPC. Nehostí ovládače tretích strán. Nevykresľuje uzamknutú obrazovku.
Prečo beží?
Počítač má zapnuté zabezpečenie založené na virtualizácii a funkciu Credential Guard. Systém Windows 11 to na vhodnom hardvéri predvolene povoľuje. Neprítomnosť LsaIso zvyčajne znamená, že Guard je vypnutý, nie to, že lsass zmizol.
Skontrolujte bežiaci proces
V systéme Windows PowerShell tento dotaz iba na čítanie zobrazuje zodpovedajúce ID procesov, časy vytvorenia a cesty k spustiteľným súborom na tomto PC.
Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'LsaIso.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List
Žiadny výsledok alebo neprístupná cesta je nepresvedčivá. Chránené procesy môžu obmedziť prístup a ID procesov sa môžu znovu použiť. Uchovávajte osobné cesty lokálne.
Použite sprievodcu identifikáciou súboru na porovnanie podpisov a metadát produktu. Samotný názov súboru nemôže preukázať bezpečnosť.
Je bezpečný?
Overte tento bežiaci súbor
Keď je zapnutá funkcia Credential Guard, trustlet izolovaného LSA od spoločnosti Microsoft sa očakáva. Náhodný súbor LsaIso.exe v priečinku Stiahnuté súbory nie je týmto trustletom. Tento proces tiež nemôžete zmysluplne dumpovať z používateľského režimu.
Porovnajte zaznamenanú polohu so skutočným súborom. Známé priečinok sám o sebe nepreukazuje identitu.
C:\Windows\System32\LsaIso.exe
- Očakávaný vydavateľ: Microsoft Corporation
- Prítomný, keď je zapnutá funkcia Credential Guard
- Súrodenec v bežnom svete: lsass.exe
Môžem ho ukončiť?
Nie
Ukončenie procesu LsaIso.exe sa považuje za zlyhanie bezpečnostného procesu. Nejde o uvoľnenie pamäte RAM. Microsoft dokumentuje vysoké využitie procesora ako problém s injektovaním od iných dodávateľov, nie ako cieľ na ukončenie.
Môžem ho odstrániť?
Nie
Neodstraňujte LsaIso.exe. Credential Guard vypnite len pomocou zdokumentovanej zásady, ak je podniková aplikácia nekompatibilná.
Má sa spúšťať so systémom Windows?
wininit spúšťa Isolated LSA cez cestu zabezpečeného procesu. Nie je to začiarkavacie políčko v Aplikáciách spúšťaných pri štarte.
Meranie využitia zdrojov
| CPU a pamäť | Porovnajte niekoľko pozorovaní pre rovnaké PID a pracovné zaťaženie. Tento záznam nemá nezávisle meranú univerzálnu základnú líniu. |
|---|---|
| Disk a sieť | Priraďte aktivitu k skutočnému procesu a aktuálnej úlohe; názov súboru sám o sebe nepreukazuje očakávané ciele alebo objem prenosu. |
Informácie o súbore
| Názov spustiteľného súboru | LsaIso.exe |
|---|---|
| Zaznamenaná cesta inštalácie | C:\Windows\System32\LsaIso.exe |
| Vydavateľ | Microsoft Corporation |
| Kontrola podpisu | Skontrolujte skutočný súbor; tento záznam necertifikuje identitu jeho certifikátu. |
Časté problémy
Vysoké využitie procesora pri LsaIso
Microsoft uvádza, že aplikácie, ktoré injektujú knižnice DLL alebo zaraďujú volania APC do izolovaného LSA, ho môžu destabilizovať. Pred zakázaním Guardu odstráňte posledného dodávateľa zabezpečenia alebo prekryvnej vrstvy.
Prázdne výpisy pamäte lsass po "audite"
To je dôkaz, že Credential Guard funguje. Hashe sa už v lsass nenachádzajú.
Riešenie problémov
Pred akoukoľvek deštruktívnou zmenou vykonajte diagnostiku.
Potvrďte, že funkcia Credential Guard je zapnutá
Systémové informácie alebo nástroj msinfo32 zobrazujú Zabezpečenie založené na virtualizácii. LsaIso by malo zodpovedať tomuto stavu.
Nepripájajte ladiaci program
Procesy IUM odmietajú bežné ladenie. Namiesto toho postupujte podľa krokov spoločnosti Microsoft na elimináciu softvéru tretích strán.
Technické podrobnosti
Technické podrobnosti
| Názov obrazu | LsaIso.exe |
|---|---|
| Rola | Trustlet izolovaného LSA / Credential Guard |
Overte identitu spusteného súboru
Samotný názov súboru nemôže preukázať bezpečnosť. Overte skutočnú cestu, podpis a identitu produktu.
Zdroje a overenie
Zaznamenané označenie zdroja: august 2026. Toto označenie nepredstavuje nezávislé overenie. Ako robíme výskum.
- Microsoft Learn: Credential Guard · LsaIso ukladá tajné údaje pod VBS
- Microsoft Learn: procesy IUM · Dôveryhodné procesy nemožno injektovať
- Microsoft: Vysoké využitie procesora pri LsaIso · Vedľajšie účinky APC a injektovania DLL
- Mapa procesov Foxhole · Vzorky z prvej ruky na počítačoch so systémom Windows. Nejde o laboratórny benchmark.
- Microsoft Sysinternals: Sigcheck · Vysvetľuje, ako kontrolovať podpisy súborov. Tento odkaz nepotvrdzuje identitu ani bezpečnosť konkrétneho spusteného súboru.
- Microsoft: Get-CimInstance · Metóda lokálneho dotazu na proces iba na čítanie.
- Microsoft: Win32_Process vlastnosti · Dokumentuje ID procesov, cesty k spustiteľným súborom, dátumy vytvorenia a opätovné použitie ID rodiča.
Bol tento článok užitočný?
Stačí áno alebo nie. Ak chcete, vyberte dôvod, alebo pridajte krátku poznámku.
Ďakujeme. Pomáha nám to zlepšovať túto stránku.