Hoppa till innehåll

LsaIso.exe

Windows-processMicrosoft Corporation

Katalogsöktermer lsaiso, lsa isolated, isolated lsa, credential guard

WindowsSystemkomponent

Isolerad LSA. När Credential Guard är aktiverat lagrar denna trustlet NTLM-hashar och Kerberos-biljetter i Virtual Secure Mode, avskilt från lsass.exe.

Vad du behöver veta

Detta är Isolerad LSA, inte en andra kopia av lsass.exe som du kan avsluta för att frigöra RAM-minne.

LsaIso.exe körs som en trustlet i Isolated User Mode när Credential Guard är aktiverat. lsass.exe autentiserar fortfarande i den vanliga världen. Hemligheter stannar här. Det går inte att ansluta en felsökare till den.

Säker?
Kontrollera den körande filens sökväg, signatur och utgivare. Namnet i sig kan inte fastställa säkerheten.
Samma som lsass?
Nej. Denna är isolerad
Bör jag avsluta den?
Nej
Feex säger
Om LsaIso finns i listan gör Credential Guard jobbet som Microsoft har dokumenterat. Jag skulle inte avsluta den för att "snabba upp inloggningen". Den processen är anledningen till att stulna lsass-dumpar förblir tomma.

Vad är LsaIso.exe?

LsaIso.exe är den isolerade LSA-processen. Credential Guard flyttar lösenordshashar och Kerberos-TGT:er hit så att det normala minnet i lsass.exe blir mindre användbart att stjäla.

Vad gör den?

Den kommunicerar med lsass.exe via en begränsad RPC-kanal. Den är inte värd för tredjepartsdrivrutiner. Den ritar inte låsskärmen.

Varför körs den?

Datorn har virtualiseringsbaserad säkerhet och Credential Guard påslaget. Windows 11 aktiverar detta som standard på maskinvara som uppfyller kraven. Om LsaIso saknas betyder det oftast att Guard är avstängt, inte att lsass har försvunnit.

Inspektera den körande instansen

I Windows PowerShell listar denna skrivskyddade fråga matchande process-ID, skapelsetider och körbara sökvägar på denna dator.

Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'LsaIso.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List

Inget resultat eller en otillgänglig sökväg är otillfredsställande. Skyddade processer kan begränsa åtkomst, och process-ID kan återanvändas. Behåll personliga sökvägar lokalt.

Använd filidentitetsguiden för att jämföra signaturer och produktmetadata. Ett filnamn ensamt kan inte fastställa säkerhet.

Är den säker?

Verifiera denna körande fil

En Microsoft Isolated LSA-trustlet förväntas när Credential Guard är på. En slumpmässig LsaIso.exe i Hämtade filer är inte den trustleten. Det går inte heller att göra en användbar minnesdump av denna process från användarläge.

Jämför den registrerade platsen med den faktiska filen. En bekant mapp ensam fastställer inte identitet.

C:\Windows\System32\LsaIso.exe

  • Förväntad utgivare: Microsoft Corporation
  • Finns när Credential Guard är aktiverat
  • Motsvarighet i den normala världen: lsass.exe

Kan jag avsluta den?

Nej

Att avsluta LsaIso.exe hanteras som ett fel i en säkerhetsprocess. Det är ingen RAM-rensning. Microsoft dokumenterar hög CPU-användning som ett problem med injicering från tredjepartsleverantörer, inte som något man ska avsluta.

Kan jag ta bort den?

Nej

Ta inte bort LsaIso.exe. Stäng endast av Credential Guard via en dokumenterad princip om en verksamhetsapp är inkompatibel.

Bör den starta med Windows?

wininit startar Isolerad LSA med sökvägen för säkra processer. Det är ingen kryssruta under Autostart-appar.

Mät resursanvändning

Mät den aktuella processen snarare än att anta en universell baslinje
CPU och minne Jämför flera observationer för samma PID och arbetsbelastning. Denna post har ingen oberoende mätt universell baslinje.
Disk och nätverk Tillskriv aktivitet till den faktiska processen och den aktuella uppgiften; ett filnamn ensamt fastställer inte förväntade destinationer eller överföringsvolym.

Filinformation

Filinformation för LsaIso.exe
Körbart namn LsaIso.exe
Registrerad installationssökväg C:\Windows\System32\LsaIso.exe
Utgivare Microsoft Corporation
Signaturkontroll Inspektera den faktiska filen; denna post certifierar inte dess certifikatidentitet.

Vanliga problem

Hög CPU-användning för LsaIso

Microsoft uppger att program som injicerar DLL-filer eller köar APC:er till Isolerad LSA kan destabilisera den. Uteslut den senaste säkerhets- eller överläggsleverantören innan du inaktiverar Guard.

Tomma lsass-dumpar efter en "granskning"

Det är Credential Guard som fungerar. Hasharna finns inte längre i lsass.

Felsökning

Diagnostisera innan du ändrar något destruktivt.

Bekräfta att Credential Guard är aktiverat

Systeminformation eller msinfo32 visar Virtualiseringsbaserad säkerhet. LsaIso bör matcha det tillståndet.

Anslut inte en felsökare

IUM-processer avvisar normal felsökning. Följ Microsofts steg för att utesluta tredjepartsprogram istället.

Tekniska detaljer

Tekniska detaljer
Tekniska detaljer för LsaIso.exe
Avbildningsnamn LsaIso.exe
Roll Trustlet för Isolerad LSA / Credential Guard

Verifiera identiteten för en aktiv fil

Ett filnamn ensamt kan inte fastställa säkerhet. Verifiera den faktiska sökvägen, signaturen och produktidentiteten.

Källor och verifiering

Registrerad källetikett: augusti 2026. Denna etikett fastställer inte oberoende verifiering. Hur vi efterforskar.

Var denna artikel användbar?

Ett ja eller nej räcker. Välj en anledning om du vill, eller lägg till en kort anteckning.

Var denna artikel användbar?