| 加固项 | LSASS 受保护进程 |
|---|---|
| 适用平台 | Windows 8.1+/Server 2012 R2+ |
| 风险等级 | 高 |
| 基线 | HKLM\SYSTEM\CurrentControlSet\Control\Lsa\RunAsPPL = 1 |
核查与启用（需重启）
核查与启用（需重启）
Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\Lsa' -Name RunAsPPL -ErrorAction SilentlyContinue
reg add "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v RunAsPPL /t REG_DWORD /d 1 /f启用后依赖读取 LSASS 的合法测试/抓包类工具同样失效（预期）；个别老杀软与 PPL 冲突，先核对版本兼容性。