読み方：エルエスエー

LSA【Local Security Authority】lsass.exe

概要

LSAとは、Windowsを構成するサブシステムの一つで、利用者の認証やアクセス権限の確認、セキュリティ事象の記録などを一元的に行う仕組みである。主な実行ファイルは「lsass.exe」で、ローカル環境だけでなく、Active Directory環境におけるドメイン認証とも連携する。

Windowsにおける登録利用者（ユーザーアカウント）の管理を司るシステムで、Windowsが起動すると自動的に起動し、シャットダウンまでバックグラウンドで動作し続ける。利用者がサインイン画面でユーザー名とパスワードを入力すると、LSAは登録されているアカウント情報と照合し、本人確認を行う。

LSAが認証要求を受け取ると、パスワードや証明書などの資格情報を認証パッケージに渡し、その結果に基づいて利用者のアクセス権を決定する。認証に成功すると、所属グループや権限情報を含むアクセストークンを生成し、以後の操作の許可・拒否に利用する。

また、LSAは「セキュリティポリシー」と呼ばれる設定を各アカウントに適用する。利用者やアプリケーションが権限外の操作を試みた場合には、トークンの内容を基にこれを拒否する。サインインや権限エラーなど認証・セキュリティに関する事象が発生すると、その内容はイベントログ（セキュリティログ）に記録される。この記録は、不正アクセスやその試みの有無を調べる際の手がかりとして、管理者による監視や分析に利用される。

LSAはWindowsのセキュリティ基盤の中核を担うため、認証情報の窃取を目的とした攻撃の標的にされることが少なくない。攻撃者はlsass.exeのメモリ領域からパスワードハッシュや認証チケットを取得しようとする手口を用いる。情報が窃取されると他のシステムへの不正侵入に転用される場合がある。こうした脅威に対抗するため、Windowsには認証情報への不正な読み取り・書き込みを遮断する「ローカルセキュリティ機関の保護」（LSA Protection）や「Credential Guard」といった保護機能が実装されている。

正規のlsass.exeは「C:￥Windows￥System32」フォルダに格納されている。これと異なる場所に置かれていたり、小文字のエル（l）を大文字のアイ（I）に置き換えた「Isass.exe」のように紛らわしい名称を付けられたファイルが存在する場合、それは外部から送り込まれたマルウェアである可能性が高い。ファイルの配置場所やプロセスの動作を確認することは、不審なプログラムを見分ける基本的な手段の一つとして行われる。

(2026.6.20更新)