windows系统进程lsass.exe
福建IT网「一个进程一篇」系列：任务管理器里看到它，先搞清楚是什么、能不能结束、有没有被仿冒，再决定动不动手。
- 进程名称：
lsass.exe - 所属类型：Local Security Authority Subsystem Service（本地安全授权子系统）
- 程序归属：微软 Windows 系统自带进程，默认路径
C:\Windows\System32\lsass.exe - 用途介绍：负责本地安全策略、账户密码校验、登录令牌生成与域认证，是 Windows 安全模型的核心。企业域环境登录、组策略下发都要经过它。
- 是否合规进程：合法进程只有一个，在
C:\Windows\System32下，用户名 SYSTEM。 - 能否结束进程：❌ 绝对不能结束。结束会触发系统在一分钟内强制重启（这是系统设计的安全保护）。
- 开机启动：由 wininit.exe 在系统启动早期创建，常驻到关机。
- 风险备注：
- 仿冒重灾区：isass.exe（小写 i 冒充 l）、lsasss.exe、1sass.exe（数字 1 冒充 l），或放在用户目录
- 它是凭据存放相关进程，历来是 mimikatz 一类凭据窃取工具的目标，服务器要开 Credential Guard / LSA Protection
- 企业内网若发现 lsass.exe 异常外连或内存占用暴涨，优先按入侵事件处理而不是当性能问题
现场怎么核对（三步，不用装任何工具）
Ctrl + Shift + Esc打开任务管理器 → 「详细信息」页 → 右键该进程 → 打开文件所在的位置。- 对照上面的「程序归属」看路径对不对；路径不对，先别结束，直接全盘查杀。
- 右键 → 属性 → 数字签名，看签发主体是否对得上；无签名、签名方陌生的一律按可疑处理。
核对要点：逐字核对文件名（是 l 不是 i、不是 1）+ 路径 System32 + 微软签名
一句话结论
碰它就是重启；服务器上更要盯紧它有没有被读内存，这是凭据泄露的头号信号。
本篇按 Windows 10/11 中文版常见环境与各软件官方客户端整理，不同版本路径、进程名可能略有差异，以本机实际安装目录与数字签名为准。福建IT网 · 福建本地 IT 实战，能照着做的那种。