笔记本风扇突然狂转，任务管理器里 lsass.exe 占着三成 CPU，重启一次好半天又是这样。文件在 System32 下，签名正常，可它就是不肯降下来。

它管的是登录和凭据

本地安全认证子系统服务，进程名 lsass.exe，负责验证登录、生成访问令牌、执行安全策略、缓存密码哈希。开机输密码、远程桌面登录、改权限、组策略生效，都要经过它。结束这个进程会直接触发系统重启，别手贱去点。

CPU 高常见的几个原因

  • 域环境里组策略或登录脚本刷新，几百个账号同时登录
  • 装了杀软或 EDR，实时扫描挂在它的句柄上
  • 证书服务、智能卡、Kerberos 票据过期后反复重试
  • 某个驱动或输入法模块被注入，循环调用认证接口

先看是不是域内机器，再看最近装了什么。干净启动能快速排掉第三方软件的嫌疑。

崩溃会导致整机重启

它挂掉时系统报 0xc0000005，或者直接蓝屏重启，事件日志里是 1000、1001 这类记录。反复出现要抓 dump：打开 WER 的 LocalDumps，给 lsass.exe 配一个 DumpFolder，复现后拿 dmp 用 WinDbg 看调用栈，比猜快得多。

伪装的和真的怎么分

正常路径只有 C:/Windows/System32/lsass.exe，任务管理器里右键打开文件位置就能核对。出现在用户目录、Temp 目录的同名文件基本是木马；签名信息为空、公司名对不上也要警惕。真正的 lsass 带微软签名，父进程是 wininit.exe。

它为什么老被攻击者盯上

内存里存着明文凭据和哈希，mimikatz 这类工具就是冲着它来的。Windows 10 之后开了 Credential Guard 和 LSA 保护，普通权限读不到，但管理员权限仍然能下手。域管账号别在普通办公机上登录，这条比装什么工具都实在。

排查顺序：CPU 是持续还是间歇、是不是域机器、干净启动、更新杀软、翻事件日志。都不行就抓 dump。lsass 占 CPU 从来不是它自己的问题，都是外面有东西在推它。