lsass.exeとは？安全なプロセスかどうか徹底解説

何千もの可動部品を備えた車のボンネットを開けて、パーツが回転し動き回る様子を想像してみてください。ある部品が予期しない動作をしない限り、それぞれが何をするのかを把握するのは難しいものですが、何かがおかしいときには確実に気づくものです。

Windowsの一部のプロセスもこれと同じで、lsass.exeもその一つです。正常に動作している間は誰も気に留めませんが、CPU使用率が高くなったりクラッシュしたりすると、初めてその存在に気づき、「なぜこんなプロセスがあるのか」と疑問に思うことになります。

lsass.exeとは何か？安全なのか？

どんな道具でも、悪意ある者の手に渡れば武器になり得ます。lsass.exeの「lsass」はLocal Security Authorization Subsystem Service（ローカルセキュリティ認証サブシステムサービス）の略称です。ローカルセキュリティ認証は、ユーザーを認証してログオンさせるための仕組みであり、セキュリティポリシーの管理や、セキュリティ関連イベントに対するシステムログアラートの生成も担っています。

lsass.exeが正常に機能しているときは、強力で非常に安全なツールであると言えます。しかし、正常に機能しなくなれば、事態が深刻になることも容易に想像がつくでしょう。

Windows 11/10からlsass.exeを削除してもよいか

偽のlsass.exeであると確信できない限り、Windowsから削除してはいけません。それほど重要なプロセスだからです。Windows 11/10でlsass.exeプロセスを終了しようとすると、「システム プロセス 'Local Security Authority Process' を終了しますか？」という警告メッセージが表示されます。

ここで「はい」を選択するとWindowsがシャットダウンし、保存されていない作業は失われます。また、何らかの理由でlsass.exeが異常終了した場合も、Windowsは即座にシャットダウンする可能性が高いです。

lsass.exeが本物かどうか確認する方法

lsass.exeが問題を引き起こしていると疑う場合は、まずそれが本物のlsass.exeかどうかを確認しましょう。

プロセス名を細かくチェックする

小文字のL、大文字のI、数字の1は、見た目では非常に紛らわしく、ハッカーはこれらを巧みに入れ替えて使います。本物だと思っているlsass.exeが、実は「Isass.exe」や「1sass.exe」である可能性もあるのです。

また、偽プロセスの名前には微妙なスペルの違いが隠れていることもあります。Sが1つ多かったり、余計なスペースが入っていたりと、見落としやすい小さな差異に注意してください。

デジタル署名とファイルの場所を確認する

1. Ctrl + Shift + Escキーを押してタスクマネージャーを開き、「詳細」を選択します。
2. 一覧を下にスクロールして「Local Security Authority Process」を見つけます。右クリックして「プロパティ」を選択します。
3. 「全般」タブの「場所」が「C:\Windows\System32」（またはシステムに対応するパス）になっていることを確認します。「サイズ」は58KB前後であるべきで、その2倍以上ある場合は問題がある可能性が高いです。
4. 「デジタル署名」タブで、「署名者名」が「Microsoft Windows Publisher」になっていることを確認します。

Microsoft Defenderでスキャンする

1. タスクマネージャーで再び「Local Security Authority Process」を見つけ、右クリックして「ファイルの場所を開く」を選択します。
2. エクスプローラーが開き、lsass.exeが選択された状態になります。右クリックして「Microsoft Defenderでスキャン」を選択します。
3. スキャン結果が「現在の脅威はありません」と表示されれば問題ありません。

それでも不安が残る場合は、別の信頼できるウイルス対策ソフトやマルウェア対策アプリでも同じスキャンを行ってください。上記のチェックのいずれかに失敗した場合は、直ちにウイルスやマルウェアの除去作業を開始しましょう。

lsass.exeはCPUやメモリを大量消費することがある？

重要なWindowsプロセスのほとんどは、多くのリソースを使用しません。役割が限られており、実行に必要なリソースもごくわずかだからです。ただし、lsass.exeはログイン処理などを扱う際に一時的に使用率が跳ね上がることがありますが、1〜2秒以内にはほぼゼロに戻るはずです。

ドメインコントローラー（DC）サーバー上でlsass.exeのCPU使用率がかなり高い場合は、多数のユーザーのセキュリティ処理を行っているためと考えられます。lsass.exeはActive Directoryデータベースを管理しているため、ADの仕組みを知っている方なら、DC上でより多くのリソースを使うのは自然なことだと理解できるでしょう。

DCでは、ユーザーのログオン・ログオフのピーク時を除いて、CPU使用率は10%を大きく下回るのが一般的です。一般のPCでは、ほとんどの場合1%未満で推移します。

RAMやネットワーク使用率が異常に高い場合は、それが本物のlsass.exeではないか、マルウェアに感染している可能性があります。Microsoft Defenderによるオフラインスキャンなど、通常のセキュリティ対策を実施してください。

また、セキュリティに影響する要素はすべて、lsass.exeのリソース使用量にも影響します。たとえば、DCと接続先システムとの時刻のずれは注意が必要です。正確な時刻はセキュリティ証明書などにとって極めて重要です。Network Time Protocol（NTP）サーバーを利用して、ドメイン内の全デバイスの時刻を同期させておくとよいでしょう。

さらに、破損したシステムファイルも、正規のlsass.exeがリソースを大量消費する原因となることがあります。SFCコマンドやDISMコマンドを使って、システムファイルの修復を試みてください。

オフラインのウイルススキャンやSFC/DISMコマンドでも問題が解決しない場合は、Windowsを初期化して再インストールするしかない可能性もあります。

Windowsプロセスについてさらに詳しく知るには

お使いのWindowsデバイスの仕組みに関心を持つのは素晴らしいことです。当サイトでは、Windowsプロセスに関する記事を多数掲載しており、各プロセスが削除可能かどうか、CPU・メモリ・ネットワーク・ディスク使用率が高くなる理由などを詳しく解説しています。

SysInternalsのProcess MonitorやProcess Explorerを活用したトラブルシューティング手法も紹介しています。気になるプロセスに関する記事が見つからない場合は、ぜひお知らせください。喜んで執筆いたします。