Glosario
Protección LSA (RunAsPPL)
Ejecuta LSASS como proceso protegido ligero (PPL) para que ni siquiera los administradores puedan leer su memoria ni inyectarle código sin firmar.
La protección LSA configura el proceso de la Autoridad de seguridad local, lsass.exe, para que se ejecute como proceso protegido ligero (PPL, protected process light). A partir de ese momento, Windows solo permite que el código firmado con un nivel de protección suficiente abra LSASS para leer su memoria o cargar módulos en él. Las herramientas habituales de volcado de credenciales, que abren LSASS desde un proceso de administrador corriente, reciben una denegación.
Se habilita con el valor RunAsPPL en HKLM\SYSTEM\CurrentControlSet\Control\Lsa (1 con bloqueo mediante variable UEFI, 2 sin él) o con la directiva Configures LSASS to run as a protected process (configura LSASS para ejecutarse como proceso protegido). Un modo de auditoría informa primero de los complementos incompatibles (eventos CodeIntegrity 3065 y 3066). El evento 12 de Wininit en el registro System confirma que LSASS se inició como proceso protegido.
Consulte Credential Guard y protección LSA.