Glossar
LSA-Schutz (RunAsPPL)
Führt LSASS als Protected Process Light aus, sodass selbst Administratoren den Speicher nicht lesen und keinen unsignierten Code einschleusen können.
Der LSA-Schutz konfiguriert den Prozess der lokalen Sicherheitsautorität (LSA), lsass.exe, so, dass er als Protected Process Light (PPL) läuft. Windows erlaubt dann nur Code, der mit ausreichender Schutzstufe signiert ist, LSASS zum Lesen des Speichers zu öffnen oder Module hineinzuladen. Gängige Werkzeuge zum Auslesen von Anmeldeinformationen, die LSASS aus einem gewöhnlichen Administratorprozess öffnen, werden abgewiesen.
Aktiviert wird er über den Wert RunAsPPL unter HKLM\SYSTEM\CurrentControlSet\Control\Lsa (1 mit UEFI-Variablensperre, 2 ohne) oder über die Richtlinie Configures LSASS to run as a protected process. Ein Überwachungsmodus meldet zunächst inkompatible Plug-ins (CodeIntegrity-Ereignisse 3065 und 3066). Das System-Ereignis 12 von Wininit bestätigt, dass LSASS als geschützter Prozess gestartet wurde.