Glossaire
Protection LSA (RunAsPPL)
Exécute LSASS en tant que processus protégé léger afin que même les administrateurs ne puissent ni lire sa mémoire ni y injecter du code non signé.
La protection LSA configure le processus de l'autorité de sécurité locale, lsass.exe, pour qu'il s'exécute en tant que processus protégé léger (PPL). Windows n'autorise alors que le code signé avec un niveau de protection suffisant à ouvrir LSASS pour lire sa mémoire ou y charger des modules. Les outils d'extraction d'identifiants courants, qui ouvrent LSASS depuis un processus administrateur ordinaire, sont refusés.
Elle s'active avec la valeur RunAsPPL sous HKLM\SYSTEM\CurrentControlSet\Control\Lsa (1 avec un verrou par variable UEFI, 2 sans) ou avec la stratégie Configure LSASS pour s'exécuter en tant que processus protégé. Un mode audit signale d'abord les plug-ins incompatibles (événements CodeIntegrity 3065 et 3066). L'événement Système 12 de Wininit confirme que LSASS a démarré en tant que processus protégé.