1. [Wiki](https://feex.it/wiki/)
2. [處理程序](https://feex.it/wiki/process/)
3. [安全性處理序](https://feex.it/wiki/process/security/)
4. LsaIso.exe

# LsaIso.exe

Windows 處理程序: Microsoft Corporation

搜尋目錄術語 lsaiso, lsa isolated, isolated lsa, credential guard

Windows, 系統元件

外顯 LSA。開啟 Credential Guard 時，此信任項 (trustlet) 會將 NTLM 雜湊和 Kerberos 票證存放在虛擬安全模式中，與 lsass.exe 隔離。

## 您需要瞭解的資訊

這是外顯 LSA，而不是可以為了釋放記憶體而刪除的第二個 lsass.exe 複本。

啟用 Credential Guard 時，LsaIso.exe 會以外顯使用者模式信任項 (trustlet) 的形式執行。lsass.exe 仍會在標準環境中進行驗證。機密資訊則保留在此處。您無法將偵錯工具附加至其上。

- **是否安全？**: 請檢查正在執行的檔案路徑、簽章與發行者。單憑名稱無法確定安全性。

  **與 lsass 相同嗎？**: 不同。這個是處於外顯隔離狀態的

  **我應該結束它嗎？**: 不應該

Feex 指出

如果 LsaIso 出現在清單中，代表 Credential Guard 正在執行 Microsoft 所記載的功能。我不會為了「加速登入」而將其結束。該處理程序正是遭竊取的 lsass 傾印資料內容為空的原因。

## 什麼是 LsaIso.exe？

LsaIso.exe 是外顯 LSA 處理程序。Credential Guard 會將密碼雜湊和 Kerberos TGT 移至此處，如此一來竊取標準 lsass.exe 的記憶體就變得沒有多大用處。

## 它的作用是什麼？

它透過受限制的 RPC 通道與 lsass.exe 通訊。它不會裝載第三方驅動程式。它不會繪製鎖定畫面。

## 為什麼它正在執行？

電腦已開啟虛擬化型安全性與 Credential Guard。Windows 11 在符合硬體資格的裝置上預設會啟用該功能。沒有 LsaIso 通常代表 Guard 已關閉，而不是 lsass 消失了。

## 檢查執行中的處理序

在 Windows PowerShell 中，此唯讀查詢會列出此 PC 上符合條件的處理序 ID、建立時間和可執行檔路徑。

`Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'LsaIso.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List`

無結果或無法存取的路徑是無法確定的。受保護的處理序可能會限制存取，處理序 ID 也可能被重複使用。請將個人路徑保留在本地。

使用 [檔案識別指南](https://feex.it/wiki/l/zh-hant/software/system/verify-executable-path-signature/) 來比較簽章和產品中繼資料。僅憑檔案名稱無法確定安全性。

## 它是否安全？

驗證此執行中的檔案

開啟 Credential Guard 時，出現 Microsoft 外顯 LSA 信任項是正常的。位於「下載」中的隨機 LsaIso.exe 並不是該信任項。您也無法有效地從使用者模式傾印此處理程序。

將記錄的位置與實際檔案進行比較。熟悉的資料夾本身無法確定識別。

`C:\Windows\System32\LsaIso.exe`

- 預期的發行者：Microsoft Corporation
- 在啟用 Credential Guard 時存在
- 標準環境中的同級處理程序：lsass.exe

## 我可以結束它嗎？

不應該

結束 LsaIso.exe 會被視為安全性處理程序失敗。這不是記憶體清理手段。Microsoft 在官方文件中指出 CPU 使用率過高是廠商插入 (injection) 的問題，而非應終止的目標。

## 我可以移除它嗎？

不應該

請勿刪除 LsaIso.exe。僅在特定業務營運應用程式不相容時，才使用官方記載的原則關閉 Credential Guard。

## 它應該隨 Windows 啟動嗎？

wininit 會透過安全處理程序路徑啟動外顯 LSA。它不是「啟動應用程式」的核取方塊。

## 測量資源使用量

| CPU 和記憶體 | 比較相同 PID 和工作負載的幾項觀察結果。此項目沒有獨立測量的通用基準。    |
| -------- | ---------------------------------------- |
| 磁碟和網路    | 將活動歸因於實際的處理序和目前的任務；僅憑檔案名稱無法確定預期的目的地或傳輸量。 |

## 檔案資訊

| 可執行檔名稱  | LsaIso.exe                     |
| ------- | ------------------------------ |
| 記錄的安裝路徑 | C:\Windows\System32\LsaIso.exe |
| 發行者     | Microsoft Corporation          |
| 簽章檢查    | 檢查實際檔案；此項目不證明其憑證識別。            |

## 常見問題

### LsaIso 的 CPU 使用率過高

Microsoft 指出，將 DLL 插入外顯 LSA 或將 APC 排入其中的應用程式可能會導致其不穩定。在停用 Guard 之前，請先排除最近安裝的安全性或疊加層廠商軟體。

### 在「稽核」之後出現空的 lsass 傾印

那是 Credential Guard 正在正常發揮作用。雜湊已經不再存放於 lsass 中了。

## 疑難排解

在進行任何具破壞性的變更之前，請先進行診斷。

### 確認 Credential Guard 已開啟

「系統資訊」或 msinfo32 會顯示「虛擬化型安全性」。LsaIso 應該符合該狀態。

### 請勿附加偵錯工具

IUM 處理程序會拒絕一般偵錯。請改為遵循 Microsoft 的廠商排除步驟。

## 技術詳細資訊

技術詳細資訊

| 映像名稱 | LsaIso.exe                    |
| ---- | ----------------------------- |
| 角色   | 外顯 LSA / Credential Guard 信任項 |

## 檢查執行中檔案的身分

僅憑檔案名稱無法確定安全性。請驗證實際路徑、簽章和產品識別。

## 相關項目

這些實體與本文連結。每個連結上都會顯示類型。

[lsass.exe: Windows 處理程序](https://feex.it/wiki/l/zh-hant/process/lsass.exe/)[Secure System: Windows 處理程序](https://feex.it/wiki/l/zh-hant/process/secure-system/)[什麼是 Windows 處理程序: 指南](https://feex.it/wiki/l/zh-hant/software/system/what-is-a-windows-process/)[檢查可執行檔路徑和數位簽章: 指南](https://feex.it/wiki/l/zh-hant/software/system/verify-executable-path-signature/)[閱讀工作管理員並比較處理序活動: 指南](https://feex.it/wiki/l/zh-hant/software/system/how-to-read-task-manager/)[安全性處理序: 類別](https://feex.it/wiki/process/security/)

## 來源與驗證

記錄的來源標籤：2026年8月。此標籤不代表獨立驗證。 [我們的研究方式](https://feex.it/wiki/research/).

- [Microsoft Learn：Credential Guard ](https://learn.microsoft.com/windows/security/identity-protection/credential-guard/how-it-works)· LsaIso 在 VBS 下儲存機密資訊
- [Microsoft Learn：IUM 處理程序 ](https://learn.microsoft.com/windows/win32/procthread/isolated-user-mode--ium--processes)· 信任小程式無法被插入
- [Microsoft：LsaIso CPU 使用率過高 ](https://learn.microsoft.com/troubleshoot/windows-client/performance/lsaiso-process-high-cpu-usage)· APC 與 DLL 插入副作用
- [Foxhole 處理程序圖譜 ](https://foxhole.feex.it/)· 來自 Windows 電腦的第一手樣本。非實驗室基準測試。
- [Microsoft Sysinternals: Sigcheck ](https://learn.microsoft.com/en-us/sysinternals/downloads/sigcheck)· 說明如何檢查檔案簽章。此參考資料並不代表特定執行中檔案的身分或安全性。
- [Microsoft：Get-CimInstance ](https://learn.microsoft.com/en-us/powershell/module/cimcmdlets/get-ciminstance)· 唯讀的本機處理序查詢方法。
- [Microsoft：Win32_Process 屬性 ](https://learn.microsoft.com/en-us/windows/win32/cimwin32prov/win32-process)· 記錄處理序 ID、可執行檔路徑、建立日期和父處理序 ID 重複使用。

## 這篇文章實用嗎？

只要回答「是」或「否」即可。您也可以依意願選擇原因，或附上簡短說明。

速覽

本頁面的簡短身分識別。規格、來源和完整說明保留在文章中。

- **類型**: Windows 處理程序

  **發行者**: Microsoft Corporation

  **可執行檔**: LsaIso.exe

  **典型路徑**: C:\Windows\System32\LsaIso.exe

  **記錄內容**: Feex Wiki 參考項目

  **相關處理程序**: [lsass.exe](https://feex.it/wiki/l/zh-hant/process/lsass.exe/)

記錄的來源狀態：Feex 已審核: 記錄的來源標籤：2026年8月。此標籤不代表獨立驗證。

---

Source: [Canonical Feex Wiki page](https://feex.it/wiki/l/zh-hant/process/lsaiso.exe/)

[Developer guide](https://feex.it/wiki/developers/) | [API policy](https://feex.it/developers/api-policy/) | [Agent guidance](https://feex.it/wiki/llms.txt)