Konfigurieren von zusätzlichem LSA-Schutz (2024)

Gilt für: Windows Server2022, Windows Server2019, Windows Server2016

In diesem Artikel für IT-Spezialisten erfahren Sie, wie Sie den zusätzlichen Schutz für den Prozess der lokalen Sicherheitsautorität (Local Security Authority, LSA) konfigurieren, um Codeeinschleusungen zu verhindern, die Anmeldeinformationen kompromittieren können.

Mithilfe der lokalen Sicherheitsautorität, die auch den LSASS-Prozess (Local Security Authority Subsystem Service, Subsystemdienst für die lokale Sicherheitsautorität) umfasst, werden Benutzer für die lokale Anmeldung und Remoteanmeldung überprüft und lokale Sicherheitsrichtlinien erzwungen. Ab dem Betriebssystem Windows8.1 steht zusätzlicher Schutz für die lokale Sicherheitsautorität zur Verfügung, um das Auslesen des Arbeitsspeichers und das Einschleusen von Code durch ungeschützte Prozesse zu verhindern. Dieses Feature verbessert die Sicherheit für die Anmeldeinformationen, die von der lokalen Sicherheitsautorität gespeichert und verwaltet werden. Die Einstellung des geschützten Prozesses für die lokale Sicherheitsautorität kann ab Windows8.1 konfiguriert werden. Wenn diese Einstellung zusammen mit UEFI-Sperre und sicherem Start verwendet wird, erhöht sich der Schutz noch weiter, da das Deaktivieren des Registrierungsschlüssels „HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa“ keine Wirkung hat.

Anforderungen an den geschützten Prozess für Plug-Ins oder Treiber

Damit ein LSA-Plug-In oder -Treiber erfolgreich als geschützter Prozess geladen werden kann, muss er die folgenden Kriterien erfüllen:

1. Signaturüberprüfung

   Der geschützte Modus erfordert, dass alle Plug-Ins, die in die lokale Sicherheitsautorität geladen werden, mit einer Microsoft-Signatur digital signiert werden. Daher können alle Plug-Ins, die gar nicht oder nicht mit einer Microsoft-Signatur signiert sind, in der lokalen Sicherheitsautorität nicht geladen werden. Beispiele für diese Plug-Ins sind Smartcard-Treiber, kryptografische Plug-Ins und Kennwortfilter.

   LSA-Plug-Ins, bei denen es sich um Treiber handelt, z. B. Smartcard-Treiber, müssen mithilfe der WHQL-Zertifizierung signiert werden. Weitere Informationen finden Sie unter WHQL-Releasesignatur.

   LSA-Plug-Ins ohne WHQL-Zertifizierungsprozess müssen mithilfe des Dateisignierdiensts für LSA signiert werden.

2. Anleitung zur Einhaltung des Microsoft Security Development Lifecycle (SDL)-Prozesses

   Alle Plug-Ins müssen die Vorgaben zur Einhaltung des jeweiligen SDL-Prozesses erfüllen. Weitere Informationen finden Sie unter Microsoft Security Development Lifecycle (SDL) – Anhang.

   Auch wenn die Plug-Ins ordnungsgemäß mit einer Microsoft-Signatur signiert sind, kann eine Nichteinhaltung des SDL-Prozesses beim Laden eines Plug-Ins zu einem Fehler führen.

Empfohlene Vorgehensweisen

Nutzen Sie die folgende Liste, um eingehend zu testen, ob der LSA-Schutz aktiviert ist, bevor Sie das Feature allgemein bereitstellen:

• Identifizieren Sie alle LSA-Plug-Ins und -Treiber, die in Ihrer Organisation verwendet werden. Schließen Sie nicht von Microsoft stammende Treiber oder Plug-Ins wie Smartcard-Treiber und kryptografische Plug-Ins sowie intern entwickelte Software ein, die ggf. genutzt wird, um Kennwortfilter oder Benachrichtigungen für Kennwortänderungen zu erzwingen.
• Stellen Sie sicher, dass alle LSA-Plug-Ins digital mit einem Microsoft-Zertifikat signiert sind, damit beim Laden der Plug-Ins kein Fehler auftritt.
• Stellen Sie sicher, dass alle ordnungsgemäß signierten Plug-Ins erfolgreich in die lokale Sicherheitsautorität geladen werden können und dass sie sich wie erwartet verhalten.
• Verwenden Sie die Überwachungsprotokolle zum Identifizieren von LSA-Plug-Ins und -Treibern, die nicht als geschützter Prozess ausgeführt werden können.

Durch aktivierten LSA-Schutz eingeführte Einschränkungen

Bei aktiviertem zusätzlichen LSA-Schutz können Sie kein benutzerdefiniertes LSA-Plug-In debuggen. Es ist nicht möglich, einen Debugger an LSASS anzufügen, wenn es sich um einen geschützten Prozess handelt. Im Allgemeinen gibt es keine unterstützte Möglichkeit zum Debuggen eines laufenden geschützten Prozesses.

Überwachen von LSA-Plug-Ins und -Treibern, die nicht als geschützter Prozess ausgeführt werden können

Mithilfe des Überwachungsmodus können Sie LSA-Plug-Ins und -Treiber identifizieren, die im LSA-Schutzmodus nicht geladen werden können. Im Überwachungsmodus werden vom System Ereignisprotokolle generiert und alle Plug-Ins und Treiber identifiziert, die unter der lokalen Sicherheitsautorität nicht geladen werden können, wenn der LSA-Schutz aktiviert ist. Die Meldungen werden protokolliert, ohne die Plug-Ins oder Treiber zu blockieren.

Die in diesem Abschnitt beschriebenen Ereignisse sind im Betriebsprotokoll unter %%amp;quot;Anwendungs- und Dienstprotokolle\Microsoft\Windows\CodeIntegrity%%amp;quot; enthalten. Sie stellen eine Hilfe beim Identifizieren von LSA-Plug-Ins und -Treibern dar, die aufgrund von Signaturproblemen nicht geladen werden können. Zum Verwalten dieser Ereignisse können Sie das Befehlszeilentool wevtutil verwenden. Informationen zu diesem Befehl finden Sie unter Wevtutil.

Automatische Aktivierung des Überwachungsmodus

Der Überwachungsmodus für zusätzlichen LSA-Schutz ist auf Geräten mit Windows11, 22H2 standardmäßig aktiviert. Wird dieser Build auf Ihrem Gerät verwendet, sind für die Überwachung des zusätzlichen LSA-Schutzes keine weiteren Aktionen erforderlich.

Aktivieren des Überwachungsmodus für „Lsass.exe“ auf einem einzelnen Computer durch Bearbeiten der Registrierung

1. Öffnen Sie den Registrierungs-Editor (RegEdit.exe), und navigieren Sie zum Registrierungsschlüssel unter: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\LSASS.exe.

2. Legen Sie den Wert des Registrierungsschlüssels auf AuditLevel=dword:00000008 fest.

3. Starten Sie den Computer neu.

Analysieren Sie die Ergebnisse von Ereignis 3065 und Ereignis 3066.

Nach diesen Schritten werden in der Ereignisanzeige unter „Anwendungs- und Dienstprotokolle/Microsoft/Windows/CodeIntegrity“ möglicherweise folgende Ereignisse angezeigt:

• Ereignis3065: Mit diesem Ereignis wird aufgezeichnet, dass bei einer Codeintegritätsprüfung ermittelt wurde, dass ein Prozess (normalerweise %%amp;quot;lsass.exe%%amp;quot;) einen bestimmten Treiber zu laden versucht hat, der die Sicherheitsanforderungen für freigegebene Abschnitte nicht erfüllt. Aufgrund der festgelegten Systemrichtlinie wurde das Laden des Images jedoch zugelassen.

• Ereignis3066: Mit diesem Ereignis wird aufgezeichnet, dass bei einer Codeintegritätsprüfung ermittelt wurde, dass ein Prozess (normalerweise %%amp;quot;lsass.exe%%amp;quot;) einen bestimmten Treiber zu laden versucht hat, der die Anforderungen an die Microsoft-Signaturebene nicht erfüllt. Aufgrund der festgelegten Systemrichtlinie wurde das Laden des Images jedoch zugelassen.

Zum Aktivieren des Überwachungsmodus für mehrere Computer in einer Domäne können Sie die clientseitige Registrierungserweiterung für die Gruppenrichtlinie verwenden, um den Überwachungsebenen-Registrierungswert für %%amp;quot;Lsass.exe%%amp;quot; bereitzustellen. Sie müssen den Registrierungsschlüssel %%amp;quot;HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\LSASS.exe%%amp;quot; ändern.

Erstellen der Einstellung für den AuditLevel-Wert in einem Gruppenrichtlinienobjekt

1. Öffnen Sie die Gruppenrichtlinien-Verwaltungskonsole (Group Policy Management Console, GPMC).

2. Erstellen Sie ein neues Gruppenrichtlinienobjekt (Group Policy Object, GPO), das auf der Domänenebene verknüpft ist oder das mit der Organisationseinheit verknüpft ist, die Ihre Computerkonten enthält. Alternativ dazu können Sie ein GPO auswählen, das schon bereitgestellt wurde.

3. Klicken Sie mit der rechten Maustaste auf das Gruppenrichtlinienobjekt, und wählen Sie dann Bearbeiten aus, um den Gruppenrichtlinienverwaltungs-Editor zu öffnen.

4. Erweitern Sie nacheinander Computerkonfiguration, Einstellungen und dann Windows-Einstellungen.

5. Klicken Sie mit der rechten Maustaste auf Registrierung, zeigen Sie auf Neu, und wählen Sie anschließend Registrierungselement aus. Das Dialogfeld Neue Registrierungseigenschaften wird angezeigt.

6. Wählen Sie in der Liste Struktur die Option HKEY_LOCAL_MACHINE aus.

7. Navigieren Sie in der Liste Schlüsselpfad zu SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\LSASS.exe.

8. Geben Sie im Feld Wertname den Text AuditLevel ein.

9. Wählen Sie im Feld Werttyp die Option REG_DWORD aus.

10. Geben Sie im Feld Wert den Wert 00000008 ein.

11. Klicken Sie auf OK.

Zum Aktivieren des zusätzlichen LSA-Schutzes auf mehreren Computern können Sie die clientseitige Registrierungserweiterung für die Gruppenrichtlinie verwenden, indem Sie „HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa“ ändern. Eine entsprechende Anleitung finden Sie in diesem Artikel unter Konfigurieren des zusätzlichen LSA-Schutzes für Anmeldeinformationen.

Nach der Aktivierung: Identifizieren von Plug-Ins und Treibern, die von "lsass.exe" geladen werden

Sie können das Ereignisprotokoll verwenden, um LSA-Plug-Ins und -Treiber zu identifizieren, die im LSA-Schutzmodus nicht geladen werden konnten. Wenn der per LSA geschützte Prozess aktiviert ist, werden vom System Ereignisprotokolle generiert. Damit können alle Plug-Ins und Treiber identifiziert werden, die im LSA-Modus nicht geladen werden konnten.

In der Ereignisanzeige werden unter „Microsoft-Windows-Codeintegrity/Operational“ ggf. folgende Ereignisse angezeigt:

• Ereignis3033: Mit diesem Ereignis wird aufgezeichnet, dass bei einer Codeintegritätsprüfung ermittelt wurde, dass ein Prozess (normalerweise %%amp;quot;lsass.exe%%amp;quot;) einen Treiber zu laden versucht hat, der die Anforderungen an die Microsoft-Signaturebene nicht erfüllt.

• Ereignis3063: Mit diesem Ereignis wird aufgezeichnet, dass bei einer Codeintegritätsprüfung ermittelt wurde, dass ein Prozess (normalerweise %%amp;quot;lsass.exe%%amp;quot;) einen Treiber zu laden versucht hat, der die Sicherheitsanforderungen für freigegebene Abschnitte nicht erfüllt.

Freigegebene Abschnitte sind in der Regel das Ergebnis von Programmiertechniken, bei denen Instanzdaten mit anderen Prozessen interagieren können, für die der gleiche Sicherheitskontext verwendet wird. Dies kann zu Sicherheitsrisiken führen.

Konfigurieren des zusätzlichen LSA-Schutzes für Anmeldeinformationen

Auf Geräten, die mindestens über Windows8.1 verfügen, ist die Konfiguration mithilfe der in diesem Abschnitt beschriebenen Verfahren möglich.

Auf x86-basierten oder x64-basierten Geräten mit oder ohne %%amp;quot;Sicherer Start%%amp;quot; und UEFI

Auf x86- oder x64-basierten Geräten, von denen „Sicherer Start“ oder UEFI verwendet wird, kann in der UEFI-Firmware eine UEFI-Variable festgelegt werden, wenn der LSA-Schutz per Registrierungsschlüssel oder Richtlinie aktiviert wird. Wenn die Einstellung in der Firmware gespeichert ist, kann die UEFI-Variable nicht durch Ändern der Registrierung oder durch Ändern der Richtlinie, die zum Aktivieren des zusätzlichen LSA-Schutzes verwendet wurde, gelöscht oder geändert werden. Die UEFI-Variable muss mithilfe der weiter unten bereitgestellten Anleitung zum Deaktivieren des LSA-Schutzes zurückgesetzt werden.

x86- oder x64-basierte Geräte, die UEFI nicht unterstützen oder bei denen „Sicherer Start“ deaktiviert ist, können die Konfiguration für den LSA-Schutz nicht in der Firmware speichern. Bei diesen Geräten ist einzig das Vorhandensein des Registrierungsschlüssels ausschlaggebend. In diesem Szenario kann der LSA-Schutz per Remotezugriff auf das Gerät deaktiviert werden. Die Deaktivierung des LSA-Schutzes wird erst wirksam, wenn das Gerät neu gestartet wird.

Automatische Aktivierung

Bei Geräten mit WindowsRT8.1 ist der zusätzliche LSA-Schutz immer aktiviert und kann nicht deaktiviert werden.

Bei Clientgeräten mit Windows11, 22H2 wird der zusätzliche LSA-Schutz standardmäßig aktiviert, wenn folgende Kriterien erfüllt sind:

• Das Gerät verfügt über eine neue Installation von Windows11, 22H2 (kein Upgrade von einer vorherigen Version).
• Das Gerät ist in das Unternehmen eingebunden (in eine ActiveDirectory-Domäne, in eine AzureAD-Domäne oder in eine AzureAD-Hybriddomäne).
• Das Gerät unterstützt Hypervisor-Protected Code Integrity (HVCI).

Durch die automatische Aktivierung des zusätzlichen LSA-Schutzes unter Windows11, 22H2 wird keine UEFI-Variable für das Feature festgelegt. Wenn Sie eine UEFI-Variable festlegen möchten, können Sie eine Registrierungskonfiguration oder eine Richtlinie verwenden.

Aktivieren des LSA-Schutzes auf einem einzelnen Computer

Mithilfe der Registrierung

1. Öffnen Sie den Registrierungs-Editor (RegEdit.exe), und navigieren Sie zum Registrierungsschlüssel unter: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa.

2. Legen Sie den Wert des Registrierungsschlüssels wie folgt fest:

   1. "RunAsPPL"=dword:00000001: Dient zum Konfigurieren des Features mit einer UEFI-Variablen.
   2. "RunAsPPL"=dword:00000002: Dient zum Konfigurieren des Features ohne UEFI-Variablen (nur unter Windows11, 22H2).

3. Starten Sie den Computer neu.

Verwenden einer lokalen Gruppenrichtlinie unter Windows11, 22H2

1. Öffnen Sie den Editor für lokale Gruppenrichtlinien („gpedit.msc“).

2. Erweitern Sie nacheinander Computerkonfiguration, Administrative Vorlagen, System und Lokale Sicherheitsautorität.

3. Öffnen Sie die Richtlinie LSASS für die Ausführung als geschützter Prozess konfigurieren.

4. Legen Sie die Richtlinie auf Aktiviert fest.

5. Legen Sie unter Optionen die Option „LSA für die Ausführung als geschützter Prozess konfigurieren“ auf Folgendes fest:

   1. „Aktiviert mit UEFI-Sperre“, um das Feature mit einer UEFI-Variablen zu konfigurieren.
   2. „Aktiviert ohne UEFI-Sperre“, um das Feature ohne UEFI-Variable zu konfigurieren.

6. Starten Sie den Computer neu.

Aktivieren des LSA-Schutzes mithilfe der Gruppenrichtlinie

1. Öffnen Sie die Gruppenrichtlinien-Verwaltungskonsole (Group Policy Management Console, GPMC).

2. Erstellen Sie ein neues Gruppenrichtlinienobjekt, das auf der Domänenebene verknüpft ist oder das mit der Organisationseinheit verknüpft ist, die Ihre Computerkonten enthält. Alternativ dazu können Sie ein GPO auswählen, das schon bereitgestellt wurde.

3. Klicken Sie mit der rechten Maustaste auf das Gruppenrichtlinienobjekt, und wählen Sie dann Bearbeiten aus, um den Gruppenrichtlinienverwaltungs-Editor zu öffnen.

4. Erweitern Sie nacheinander Computerkonfiguration, Einstellungen und dann Windows-Einstellungen.

5. Klicken Sie mit der rechten Maustaste auf Registrierung, zeigen Sie auf Neu, und wählen Sie anschließend Registrierungselement aus. Das Dialogfeld Neue Registrierungseigenschaften wird angezeigt.

6. Wählen Sie in der Liste Struktur die Option HKEY_LOCAL_MACHINE aus.

7. Navigieren Sie in der Liste Schlüsselpfad zu SYSTEM\CurrentControlSet\Control\Lsa.

8. Geben Sie im Feld Wertname Folgendes ein: RunAsPPL.

9. Wählen Sie im Feld Werttyp die Option REG_DWORD aus.

10. Geben Sie im Feld Wert Folgendes ein:

    1. 00000001, um den LSA-Schutz mit einer UEFI-Variablen zu aktivieren.
    2. 00000002, um den LSA-Schutz ohne UEFI-Variable zu aktivieren (wird nur für Windows11, 22H2 erzwungen).

11. Klicken Sie auf OK.

Deaktivieren des LSA-Schutzes

Deaktivieren mithilfe der Registrierung

1. Öffnen Sie den Registrierungs-Editor (RegEdit.exe), und navigieren Sie zum Registrierungsschlüssel unter: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa.

2. Legen Sie „"RunAsPPL"=dword:00000000“ fest, oder löschen Sie das DWORD.

3. Wenn PPL mit einer UEFI-Variablen aktiviert wurde, verwenden Sie das Tool zum Deaktivieren des geschützten LSA-Prozesses (Local Security Authority Protected Process Opt-out), um die UEFI-Variable zu entfernen.

4. Starten Sie den Computer neu.

Deaktivieren der Verwendung der lokalen Richtlinie unter Windows11, 22H2

Öffnen Sie den Editor für lokale Gruppenrichtlinien („gpedit.msc“).

1. Erweitern Sie nacheinander Computerkonfiguration, Administrative Vorlagen, System und Lokale Sicherheitsautorität.

2. Öffnen Sie die Richtlinie LSASS für die Ausführung als geschützter Prozess konfigurieren.

3. Legen Sie die Richtlinie auf Aktiviert fest.

4. Legen Sie unter Optionen die Option „LSA konfigurieren“ auf „Deaktiviert“ fest.

5. Starten Sie den Computer neu.

Wenn Sie diese Richtlinie auf Nicht konfiguriert festlegen und die Richtlinie zuvor aktiviert war, wird die vorherige Einstellung nicht bereinigt und weiterhin erzwungen. Um das Feature zu deaktivieren, muss die Richtlinie unter LSA für die Ausführung als geschützter Prozess konfigurieren auf Deaktiviert festgelegt werden.

Entfernen der UEFI-Variablen für den LSA-Schutz

Verwenden Sie das Tool zum Deaktivieren des geschützten LSA-Prozesses (Local Security Authority (LSA) Protected Process Opt-out), um die UEFI-Variable zu löschen, wenn für das Gerät "Sicherer Start" genutzt wird.

Weitere Informationen zu diesem Tool finden Sie auf der Seite zum Download von Local Security Authority (LSA) Protected Process Opt-out im offiziellen Microsoft Download Center.

Weitere Informationen zum Verwalten von "Sicherer Start" finden Sie unter UEFI-Firmware.

Überprüfen des LSA-Schutzes

Wenn Sie ermitteln möchten, ob LSA beim Starten von Windows im geschützten Modus gestartet wurde, können Sie im Protokoll System unter Windows-Protokolle nach dem folgenden WinInit-Ereignis suchen:

• 12: "LSASS.exe" wurde als geschützter Prozess mit folgender Stufe gestartet: 4

Zusätzliche Ressourcen

Schutz und Verwaltung von Anmeldeinformationen

Dateisignierdiensts für LSA