lsass.exe C:\Windows\System32\lsass.exe

lsass.exe : Local Security Authority Subsystem Service, qui authentifie les utilisateurs, applique la stratégie locale et crée les jetons. Cible sensible.

Mis à jour le 12 novembre 2026 Par AltF4 Formation

À quoi ça sert

lsass.exe est l’autorité de sécurité locale. Il vérifie les identifiants à l’ouverture de session, applique la stratégie de sécurité locale, crée les jetons d’accès et écrit dans le journal Sécurité (événements 4624 et 4625 compris). Sur un contrôleur de domaine, il héberge aussi les services d’annuaire. Ne le terminez jamais : Windows s’arrête ou redémarre aussitôt.

Ce qu’il contient

Un exécutable signé par Microsoft dans C:\Windows\System32.
Une seule instance, lancée par wininit.exe en session 0.
En mémoire, des secrets d’authentification : jetons, tickets, parfois des identifiants. C’est ce qui en fait la cible favorite des outils de vol d’identifiants.

Risques et bonnes pratiques

Activez la protection LSA (RunAsPPL) et, si le matériel le permet, Credential Guard. Testez d’abord la compatibilité des modules chargés par lsass.exe : en mode protégé, un module non signé est refusé (événements 3033 et 3063 du journal Microsoft-Windows-CodeIntegrity/Operational).
Ne faites un vidage mémoire de lsass.exe que pour un diagnostic autorisé : le fichier contient des identifiants. La même opération hors cadre est le signe d’une attaque, à rechercher dans les alertes de votre EDR.
Un autre lsass.exe est suspect : il en existe un seul, dans System32, dont le parent est wininit.exe. Méfiez-vous aussi des noms voisins (lsaas.exe, isass.exe).

Commandes utiles

# Voir le processus (chemin, session, parent) : exécutez en administrateur pour le chemin
Get-CimInstance Win32_Process -Filter "Name='lsass.exe'" | Select-Object ProcessId, ParentProcessId, SessionId, ExecutablePath

# Vérifier la signature numérique du fichier
Get-AuthenticodeSignature "$env:windir\System32\lsass.exe" | Select-Object Status, @{n="Signer";e={$_.SignerCertificate.Subject}}

# Voir si LSA fonctionne en processus protégé (valeur non nulle = activée)
Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\Lsa' -Name RunAsPPL -ErrorAction SilentlyContinue

# Voir l'état de Credential Guard / VBS
Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard | Select-Object SecurityServicesRunning, VirtualizationBasedSecurityStatus

Signaler une erreur