LsaIso.exe
Терміни пошуку в каталозі: lsaiso, lsa isolated, isolated lsa, credential guard
Ізольований LSA. Коли ввімкнено Credential Guard, цей трастлет зберігає хеші NTLM і квитки Kerberos у віртуальному безпечному режимі (VSM), окремо від lsass.exe.
Що потрібно знати
Це ізольований LSA, а не друга копія lsass.exe, яку можна завершити заради оперативної пам'яті.
LsaIso.exe працює як трастлет Isolated User Mode, коли ввімкнено Credential Guard. lsass.exe продовжує автентифікацію в звичайному середовищі. Секрети залишаються тут. До нього не можна підключити відладчик.
- Безпечний?
- Перевірте шлях, підпис і видавця запущеного файлу. Лише назва не може підтвердити безпеку.
- Це те саме, що й lsass?
- Ні. Цей процес ізольований
- Чи варто завершувати його?
- Ні
Що таке LsaIso.exe?
LsaIso.exe - це процес Isolated LSA. Credential Guard переносить хеші паролів і квитки TGT Kerberos сюди, тому викрадення звичайної пам'яті lsass.exe стає менш корисним.
Що він робить?
Він взаємодіє з lsass.exe через обмежений канал RPC. Він не містить сторонніх драйверів. Він не малює екран блокування.
Чому він запущений?
На ПК ввімкнено безпеку на основі віртуалізації та Credential Guard. Windows 11 вмикає це за замовчуванням на обладнанні, яке відповідає вимогам. Відсутність LsaIso зазвичай означає, що Guard вимкнено, а не те, що lsass зник.
Перевірити запущений екземпляр
У Windows PowerShell цей запит лише для читання перелічує відповідні ідентифікатори процесів, час створення та шляхи до виконуваних файлів на цьому ПК.
Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'LsaIso.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List
Відсутність результату або недоступний шлях є непереконливими. Захищені процеси можуть обмежувати доступ, а ідентифікатори процесів можуть повторно використовуватися. Зберігайте особисті шляхи локально.
Використовуйте посібник з ідентифікації файлів для порівняння підписів та метаданих продукту. Саме по собі ім'я файлу не може встановити безпеку.
Чи він безпечний?
Перевірте цей запущений файл
Трастлет Microsoft Isolated LSA очікується за умови ввімкненого Credential Guard. Випадковий LsaIso.exe у папці «Завантаження» не є цим трастлетом. Ви також не зможете повноцінно створити дамп цього процесу з режиму користувача.
Порівняйте записане розташування з фактичним файлом. Знайома папка сама по собі не встановлює ідентичність.
C:\Windows\System32\LsaIso.exe
- Очікуваний видавець: Microsoft Corporation
- Присутній, якщо ввімкнено Credential Guard
- Аналог у звичайному середовищі: lsass.exe
Чи можна його завершити?
Ні
Завершення процесу LsaIso.exe сприймається як збій процесу безпеки. Це не метод очищення ОЗП. Microsoft описує високе навантаження на ЦП як проблему впровадження сторонніх модулів, а не як ціль для примусового закриття.
Чи можна його видалити?
Ні
Не видаляйте LsaIso.exe. Вимикайте Credential Guard лише за допомогою задокументованої політики, якщо бізнес-програма несумісна.
Чи повинен він запускатися разом із Windows?
wininit запускає Isolated LSA через безпечний шлях процесу. Це не прапорець у меню «Автозавантаження».
Виміряйте використання ресурсів
| ЦП та пам'ять | Порівняйте кілька спостережень для одного й того ж PID та навантаження. Цей запис не має незалежно виміряної універсальної базової лінії. |
|---|---|
| Диск та мережа | Припишіть активність фактичному процесу та поточному завданню; саме по собі ім'я файлу не встановлює очікувані призначення або обсяг передачі. |
Інформація про файл
| Назва виконуваного файлу | LsaIso.exe |
|---|---|
| Записаний шлях встановлення | C:\Windows\System32\LsaIso.exe |
| Видавець | Microsoft Corporation |
| Перевірка підпису | Перевірте фактичний файл; цей запис не сертифікує ідентичність його сертифіката. |
Поширені проблеми
Високе навантаження на ЦП через LsaIso
За даними Microsoft, програми, які впроваджують DLL або ставлять APC у чергу до Isolated LSA, можуть дестабілізувати його. Вимкніть останнє стороннє рішення безпеки або оверлей перед тим, як вимикати Guard.
Порожні дампи lsass після «аудиту»
Це робота Credential Guard. Хешів більше немає в lsass.
Усунення несправностей
Проведіть діагностику, перш ніж робити будь-які деструктивні зміни.
Підтвердьте, що Credential Guard увімкнено
«Відомості про систему» або msinfo32 показують безпеку на основі віртуалізації. Стан LsaIso має відповідати цьому.
Не підключайте відладчик
Процеси IUM відхиляють звичайне налагодження. Натомість дотримуйтесь інструкцій Microsoft щодо усунення стороннього ПЗ.
Технічні деталі
Технічні деталі
| Назва образу | LsaIso.exe |
|---|---|
| Роль | Трастлет Isolated LSA / Credential Guard |
Перевірте автентичність запущеного файлу
Саме по собі ім'я файлу не може встановити безпеку. Перевірте фактичний шлях, підпис та ідентичність продукту.
Джерела та верифікація
Зафіксована позначка джерела: серпень 2026. Ця позначка не встановлює незалежної перевірки. Як ми проводимо дослідження.
- Microsoft Learn: Credential Guard · LsaIso зберігає секрети в середовищі VBS
- Microsoft Learn: процеси IUM · До трастлетів неможливо впровадити код
- Microsoft: високе навантаження на ЦП через LsaIso · Побічні ефекти впровадження APC та DLL
- Карта процесів Foxhole · Зразки від виробника на комп'ютерах з Windows. Не лабораторний бенчмарк.
- Microsoft Sysinternals: Sigcheck · Пояснює, як перевіряти підписи файлів. Це посилання не встановлює автентичність або безпеку конкретного запущеного файлу.
- Microsoft: Get-CimInstance · Метод запиту локальних процесів лише для читання.
- Microsoft: Win32_Process properties · Документує ідентифікатори процесів, шляхи до виконуваних файлів, дати створення та повторне використання ідентифікатора батьківського процесу.
Чи була ця стаття корисною?
Достатньо відповісти "так" або "ні". За бажанням виберіть причину або додайте коротку примітку.
Дякуємо. Це допомагає нам покращувати цю сторінку.