LsaIso.exe
目录搜索词 lsaiso, lsa isolated, isolated lsa, credential guard
隔离 LSA。启用 Credential Guard 时，此 trustlet 将 NTLM 哈希和 Kerberos 票据保存在虚拟安全模式 (VSM) 中，远离 lsass.exe。
您需要了解的内容
这是隔离 LSA，而不是你可以为了内存而杀掉的第二个 lsass.exe 副本。
启用 Credential Guard 时，LsaIso.exe 作为隔离用户模式 (IUM) trustlet 运行。lsass.exe 仍在常规环境下进行身份验证。机密保留在此处。你无法将调试器附加到它。
- 安全吗？
- 请检查正在运行的文件的路径、签名和发布者。仅凭名称无法确定安全性。
- 和 lsass 是一回事吗？
- 不是。这个是隔离的
- 我应该结束它吗？
- 不应该
什么是 LsaIso.exe？
LsaIso.exe 是隔离 LSA 进程。Credential Guard 将密码哈希和 Kerberos TGT 移至此处，因此窃取常规 lsass.exe 内存的价值大幅降低。
它的作用是什么？
它通过受限的 RPC 通道与 lsass.exe 通信。它不承载第三方驱动程序。它不绘制锁屏界面。
为什么它在运行？
电脑已开启基于虚拟化的安全性 (VBS) 和 Credential Guard。Windows 11 在符合条件的硬件上默认启用该功能。没有 LsaIso 通常意味着 Guard 已关闭，而不是 lsass 消失了。
检查正在运行的实例
在 Windows PowerShell 中，此只读查询会列出此 PC 上匹配的进程 ID、创建时间和可执行文件路径。
Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'LsaIso.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List
无结果或路径不可访问是不可判断的。受保护的进程可能会限制访问，并且进程 ID 会被重用。请将个人路径保留在本地。
使用 文件身份指南 来比较签名和产品元数据。仅文件名无法确定安全性。
它安全吗？
验证此正在运行的文件
启用 Credential Guard 时，出现微软隔离 LSA trustlet 是预期现象。Downloads 中随处可见的 LsaIso.exe 不是该 trustlet。你同样无法在用户模式下对该进程进行有效的转储。
将记录的位置与实际文件进行比较。熟悉的文件夹本身并不能确定身份。
C:\Windows\System32\LsaIso.exe
- 预期发布者：Microsoft Corporation
- 启用 Credential Guard 时存在
- 常规环境中的同级进程：lsass.exe
我可以结束它吗？
不应该
结束 LsaIso.exe 会被视作安全进程故障。这不是清理内存的操作。微软文档指出，CPU 占用过高是第三方供应商注入引起的问题，而不是可以结束的目标。
我可以删除它吗？
不应该
不要删除 LsaIso.exe。仅在线行业务应用不兼容时，才使用官方文档记载的策略关闭 Credential Guard。
它应该随 Windows 一起启动吗？
wininit 通过安全进程路径启动隔离 LSA。它不是启动应用复选框。
测量资源使用情况
| CPU 和内存 | 比较同一 PID 和工作负载的几次观察结果。此条目没有独立测量的通用基线。 |
|---|---|
| 磁盘和网络 | 将活动归因于实际进程和当前任务；仅文件名本身并不能确定预期的目标或传输量。 |
文件信息
| 可执行文件名称 | LsaIso.exe |
|---|---|
| 记录的安装路径 | C:\Windows\System32\LsaIso.exe |
| 发布者 | Microsoft Corporation |
| 签名检查 | 检查实际文件；此条目不保证其证书身份。 |
常见问题
LsaIso CPU 占用高
微软指出，向隔离 LSA 注入 DLL 或排队 APC 的应用程序可能会破坏其稳定性。在禁用 Guard 之前，请先排查排除最近安装的安全软件或游戏覆层供应商组件。
“审核”后 lsass 转储为空
这是 Credential Guard 在正常发挥作用。哈希不再保存在 lsass 中。
故障排除
在进行任何破坏性更改之前先进行诊断。
确认 Credential Guard 已开启
“系统信息”或 msinfo32 会显示“基于虚拟化的安全性”。LsaIso 的状态应与之一致。
不要附加调试器
IUM 进程拒绝常规调试。请改用微软提供的供应商组件排除步骤。
技术细节
技术细节
| 映像名称 | LsaIso.exe |
|---|---|
| 角色 | 隔离 LSA / Credential Guard trustlet |
检查运行中文件的身份标识
仅文件名无法确定安全性。请验证实际路径、签名和产品身份。
来源与验证
记录的来源标签：August 2026。此标签并不代表已完成独立验证。 我们的研究方式.
- Microsoft Learn: Credential Guard · LsaIso 在 VBS 下存储机密
- Microsoft Learn：IUM 进程 · 信任小程序无法被注入
- Microsoft: LsaIso CPU 占用高 · APC 和 DLL 注入副作用
- Foxhole 进程图谱 · Windows PC 上的第一方采集样本。非实验室基准测试。
- Microsoft Sysinternals: Sigcheck · 说明如何检查文件签名。此参考资料并不代表能确定特定运行中文件的身份或安全性。
- Microsoft: Get-CimInstance · 只读本地进程查询方法。
- Microsoft: Win32_Process 属性 · 记录进程 ID、可执行文件路径、创建日期和父 ID 重用。
这篇文章有用吗？
回答"是"或"否"即可。如果您愿意，可以选择一个原因，或添加一段简短附言。
感谢。这有助于我们改进此页面。