LsaIso.exe

您需要瞭解的資訊

是否安全？

請檢查正在執行的檔案路徑、簽章與發行者。單憑名稱無法確定安全性。

與 lsass 相同嗎？

不同。這個是處於外顯隔離狀態的

我應該結束它嗎？

不應該

Feex 指出

如果 LsaIso 出現在清單中，代表 Credential Guard 正在執行 Microsoft 所記載的功能。我不會為了「加速登入」而將其結束。該處理程序正是遭竊取的 lsass 傾印資料內容為空的原因。

什麼是 LsaIso.exe？

LsaIso.exe 是外顯 LSA 處理程序。Credential Guard 會將密碼雜湊和 Kerberos TGT 移至此處，如此一來竊取標準 lsass.exe 的記憶體就變得沒有多大用處。

它的作用是什麼？

它透過受限制的 RPC 通道與 lsass.exe 通訊。它不會裝載第三方驅動程式。它不會繪製鎖定畫面。

為什麼它正在執行？

電腦已開啟虛擬化型安全性與 Credential Guard。Windows 11 在符合硬體資格的裝置上預設會啟用該功能。沒有 LsaIso 通常代表 Guard 已關閉，而不是 lsass 消失了。

檢查執行中的處理序

在 Windows PowerShell 中，此唯讀查詢會列出此 PC 上符合條件的處理序 ID、建立時間和可執行檔路徑。

Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'LsaIso.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List 複製

無結果或無法存取的路徑是無法確定的。受保護的處理序可能會限制存取，處理序 ID 也可能被重複使用。請將個人路徑保留在本地。

使用 檔案識別指南 來比較簽章和產品中繼資料。僅憑檔案名稱無法確定安全性。

它是否安全？

開啟 Credential Guard 時，出現 Microsoft 外顯 LSA 信任項是正常的。位於「下載」中的隨機 LsaIso.exe 並不是該信任項。您也無法有效地從使用者模式傾印此處理程序。

將記錄的位置與實際檔案進行比較。熟悉的資料夾本身無法確定識別。

C:\Windows\System32\LsaIso.exe 複製

• 預期的發行者：Microsoft Corporation
• 在啟用 Credential Guard 時存在
• 標準環境中的同級處理程序：lsass.exe

我可以結束它嗎？

結束 LsaIso.exe 會被視為安全性處理程序失敗。這不是記憶體清理手段。Microsoft 在官方文件中指出 CPU 使用率過高是廠商插入 (injection) 的問題，而非應終止的目標。

我可以移除它嗎？

請勿刪除 LsaIso.exe。僅在特定業務營運應用程式不相容時，才使用官方記載的原則關閉 Credential Guard。

它應該隨 Windows 啟動嗎？

wininit 會透過安全處理程序路徑啟動外顯 LSA。它不是「啟動應用程式」的核取方塊。

測量資源使用量

檔案資訊

常見問題

疑難排解

在進行任何具破壞性的變更之前，請先進行診斷。

技術詳細資訊

檢查執行中檔案的身分

僅憑檔案名稱無法確定安全性。請驗證實際路徑、簽章和產品識別。

相關項目

這些實體與本文連結。每個連結上都會顯示類型。

來源與驗證

記錄的來源標籤：2026年8月。此標籤不代表獨立驗證。 我們的研究方式.

• Microsoft Learn：Credential Guard · LsaIso 在 VBS 下儲存機密資訊
• Microsoft Learn：IUM 處理程序 · 信任小程式無法被插入
• Microsoft：LsaIso CPU 使用率過高 · APC 與 DLL 插入副作用
• Foxhole 處理程序圖譜 · 來自 Windows 電腦的第一手樣本。非實驗室基準測試。
• Microsoft Sysinternals: Sigcheck · 說明如何檢查檔案簽章。此參考資料並不代表特定執行中檔案的身分或安全性。
• Microsoft：Get-CimInstance · 唯讀的本機處理序查詢方法。
• Microsoft：Win32_Process 屬性 · 記錄處理序 ID、可執行檔路徑、建立日期和父處理序 ID 重複使用。