Cómo activar o desactivar la protección de la Autoridad de seguridad local en Windows 11

La Autoridad de seguridad local (LSA) de Windows 11 desempeña un papel central en la gestión de la autenticación, la aplicación de políticas de seguridad y el almacenamiento de credenciales protegidas, todas ellas tareas críticas en el panorama actual de amenazas. Para reforzar la seguridad de este subsistema, Microsoft ofrece la protección LSA, que impide que los usuarios manipulen la LSA y evita ataques graves contra el sistema.

Si eres administrador de TI, esta guía te ayudará a activar o desactivar la protección de la Autoridad de seguridad local (LSA) mediante Seguridad de Windows, el Editor del Registro, PowerShell y las directivas de grupo, para garantizar la seguridad al gestionar dispositivos y desplegar configuraciones a gran escala.

Si prefieres una guía visual, mira nuestro vídeo sobre cómo activar o desactivar la protección de la Autoridad de seguridad local en Windows 11.

¿Qué es la protección de la Autoridad de seguridad local?

La Autoridad de seguridad local (LSA) es un componente crítico de Windows que se encarga de la autenticación, la política de seguridad y el almacenamiento de credenciales. Actúa como guardián del equipo: verifica las credenciales, gestiona los cambios de contraseña y crea tokens de acceso cuando los usuarios intentan iniciar sesión en el sistema. El subsistema LSA (LSASS) es el proceso ejecutable que ejecuta la LSA e implementa sus funciones.

La protección LSA hace que LSASS sea más seguro. Esta función de seguridad ejecuta LSASS como proceso protegido (PPL), lo que impide que código no confiable (incluso con derechos administrativos) se inyecte en él. Así se garantiza que solo se carguen servicios y procesos de confianza, y que no puedan verse interferidos fácilmente por procesos maliciosos o con menos privilegios que dejarían el sistema expuesto al robo de credenciales y a la ejecución de malware.

Métodos para activar o desactivar la protección de la Autoridad de seguridad local

Gestionar la protección LSA no es una tarea única para todos los casos. El método adecuado depende de tu entorno (personal o empresarial), de la escala del despliegue, de las necesidades de automatización y de los requisitos de seguridad y cumplimiento. (Comprueba que cumples los requisitos previos antes de empezar.)

Método 1: activar o desactivar la protección de la Autoridad de seguridad local desde la interfaz de Seguridad de Windows

Es el método más sencillo e intuitivo, ya que muestra el estado de la LSA de forma visual sin necesidad de conocimientos de scripting ni habilidades avanzadas. Es la mejor opción para usuarios domésticos y personal de soporte de TI que realizan configuraciones manuales puntuales en dispositivos individuales. Eso sí, solo puede aplicarse en dispositivos compatibles con configuraciones de seguridad basada en virtualización (VBS).

1. Abre Configuración > Privacidad y seguridad > Seguridad de Windows > Seguridad del dispositivo.
2. En la sección Aislamiento del núcleo, haz clic en Detalles de aislamiento del núcleo.
3. Localiza la sección Protección de la Autoridad de seguridad local y activa o desactiva el interruptor.
4. Reinicia el dispositivo para aplicar los cambios.

Método 2: activar o desactivar la protección LSA desde el Editor del Registro

Este método es el más adecuado para usuarios avanzados, administradores de TI y técnicos que quieran ajustar manualmente el comportamiento de la LSA en grupos de equipos. Se recomienda para escenarios de automatización, aprovisionamiento y despliegue.

⚠️Nota: una edición incorrecta del registro puede provocar problemas graves en el sistema, así que te recomendamos hacer una copia de seguridad del registro antes de continuar. Se necesitan derechos de administrador para modificar el registro.

1. Abre el Editor del Registro como administrador. Pulsa tecla Windows + R, escribe «regedit» y pulsa Ctrl + Mayús + Intro.
2. En el panel izquierdo del Editor del Registro, sigue esta ruta: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa
3. En el panel derecho de la clave Lsa:
   • Haz doble clic en RunAsPPL y cambia su valor a 1 (activar la protección LSA) o 0 (desactivarla).
   • De forma opcional, también puedes cambiar el valor de RunAsPPLBoot a 1 para asegurarte de que la LSA esté protegida durante el arranque.
     Nota: si estos valores DWORD no existen, créalos. Haz clic con el botón derecho en una zona vacía del panel derecho de la clave LSA, sitúa el cursor sobre Nuevo, selecciona Valor DWORD (32 bits) y ponle el nombre «RunAsPPL» o «RunAsPPLBoot».
4. Reinicia el equipo para aplicar los cambios.

Método 3: activar o desactivar la protección LSA con PowerShell

PowerShell puede ser la mejor opción para administradores de sistemas que configuran dispositivos de forma masiva mediante scripts remotos o herramientas de despliegue. Admite despliegues repetibles, escalables y auditables, y se integra fácilmente en scripts de aprovisionamiento, scripts de Intune o SCCM.

Nota: requiere privilegios de administrador

Para activar la protección LSA:

1. Abre PowerShell con permisos elevados. Pulsa tecla Windows + R, escribe «powershell» y pulsa Ctrl + Mayús + Intro.
2. Copia y pega este comando antes de pulsar Intro:
   Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" -Name "RunAsPPL" -Value 1 -Type DWord
   Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" -Name "RunAsPPLBoot" -Value 1 -Type DWord
3. Reinicia el dispositivo para aplicar los cambios.

Para desactivar la protección LSA:

1. Abre PowerShell con permisos elevados. Pulsa tecla Windows + R, escribe «powershell» y pulsa Ctrl + Mayús + Intro.
2. Copia y pega este comando antes de pulsar Intro:
   Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" -Name "RunAsPPL" -Value 0 -Type DWord
3. Reinicia el dispositivo para aplicar los cambios.

Método 4: configuración mediante directivas de grupo o herramientas de gestión empresarial

Este método está pensado para entornos empresariales en los que gestionar cientos o miles de dispositivos exige control centralizado, coherencia y capacidad de auditoría. Ten en cuenta que no existen plantillas GPO nativas ampliamente disponibles para la protección LSA en Windows 11 (a partir de la versión 22H2), pero aun así puedes configurarla con:

• Preferencias de directiva de grupo (para desplegar claves del registro)
• Intune (mediante OMA-URI o scripts de PowerShell)

Sea cual sea el mecanismo de distribución, desplegarás las claves RunAsPPL y RunAsPPLBoot en HKLM\SYSTEM\CurrentControlSet\Control\Lsa para todos los usuarios.

Requisitos previos

Antes de empezar a configurar la protección LSA deben cumplirse ciertos requisitos de sistema y de seguridad para que las funciones trabajen de forma correcta y fiable.

• Sistema Windows 11: la LSA es totalmente compatible desde Windows 8.1, pero está más integrada en Windows 11, donde además es la opción recomendada.
• Privilegios administrativos: debes ejecutar PowerShell o el Editor del Registro como administrador. Los cambios desde la interfaz gráfica también activarán el UAC (Control de cuentas de usuario).
• Seguridad basada en virtualización (VBS): VBS permite aislar procesos seguros, incluido LSASS, mediante virtualización por hardware. La protección LSA está diseñada para funcionar dentro de este modelo, por lo que puede no activarse (sin aviso alguno) si VBS no es compatible.
• Arranque seguro UEFI: activar el arranque seguro no es obligatorio, pero sí muy recomendable para que la protección LSA resulte más eficaz.

¿Por qué gestionar la protección de la Autoridad de seguridad local?

Gestionar la protección LSA es fundamental para mantener la seguridad, así que la decisión de activarla o desactivarla dependerá de tu entorno Windows y de tus necesidades en cada momento.

Motivos para activar la protección LSA

La protección LSA es muy recomendable en la mayoría de entornos Windows modernos por sus numerosas ventajas de seguridad, entre ellas:

• Evita el volcado de credenciales y la inyección de procesos
• Es compatible con el arranque seguro, VBS y Credential Guard
• Cumple las líneas base de seguridad de Windows 11
• Refuerza la arquitectura Zero Trust

Motivos para desactivar la protección LSA

Si la protección de la Autoridad de seguridad local está desactivada, el sistema queda más expuesto a brechas de seguridad. Aun así, hay situaciones concretas que pueden justificar desactivarla, al menos de forma temporal:

• Cuando hay problemas de compatibilidad con software o controladores antiguos
• Durante la resolución de problemas de inestabilidad del sistema o fallos de inicio de sesión
• Cuando los complementos LSA o los proveedores de credenciales están mal firmados, les faltan metadatos o están mal configurados para ser compatibles con procesos protegidos
• Durante pruebas en un laboratorio o en un entorno de prueba

Otros aspectos a tener en cuenta al gestionar la protección de la Autoridad de seguridad local

Implementar la protección LSA no es tan simple como pulsar un interruptor. Hay varios puntos técnicos y operativos que debes valorar para que el despliegue salga bien.

• Avisos de Seguridad de Windows: puede que veas el mensaje «La protección de LSA está activada pero no configurada correctamente», lo que significa que el sistema sigue expuesto a amenazas de seguridad. Debes verificar que todos los componentes (incluidos los complementos LSA de terceros) están firmados. Puedes usar el Visor de eventos para investigar, auditar las extensiones LSA o los proveedores de credenciales, o actualizar y sustituir el software de terceros que no cumpla el requisito de firma.
• Registros de eventos: los eventos de protección LSA se registran en el Visor de eventos, lo que ayuda a validar la configuración y a diagnosticar problemas. Para confirmar que la protección LSA está operativa y que no hay errores de configuración ni módulos sin firmar, consulta Visor de eventos > Registros de Windows > Sistema y busca estos ID de evento relacionados con la LSA:
  • 1. 3065: indica que la LSA se inició como proceso protegido
    2. 3089: advierte de que se ha bloqueado un complemento por carecer de una firma válida
• Compatibilidad: algunas aplicaciones antiguas, como proveedores de credenciales, controladores de tarjetas inteligentes o complementos de antivirus, pueden no ser compatibles con la protección LSA y fallar o bloquearse sin mostrar aviso. Conviene hacer pruebas de compatibilidad en un entorno de preproducción antes del despliegue.
• Líneas base de seguridad: las líneas base de seguridad de Microsoft para Windows 11 recomiendan activar la protección LSA en todos los endpoints gestionados por la empresa, en los dispositivos con acceso de usuarios privilegiados y en los sistemas que usan autenticación sin contraseña, biométrica o SSO.

Un entorno Windows más seguro con la protección de la Autoridad de seguridad local

Activar la protección LSA en Windows 11 es clave para reforzar la autenticación del sistema, evitar el robo de credenciales y alinearse con las buenas prácticas de seguridad actuales. Aun así, conviene tener presente que en algunos casos puede ser necesario desactivarla temporalmente: durante pruebas de compatibilidad, al trabajar con controladores antiguos o mientras se resuelven problemas de autenticación.

Con varios métodos de despliegue disponibles, desde la configuración gráfica hasta herramientas empresariales escalables como las directivas de grupo e Intune, los administradores de TI pueden equilibrar seguridad y estabilidad operativa, y convertir la protección LSA en una pieza fiable de su estrategia de refuerzo del sistema.