Come abilitare o disabilitare la protezione Local Security Authority in Windows 11

La protezione Local Security Authority (LSA) in Windows 11 svolge un ruolo centrale nella gestione dell’autenticazione, nell’applicazione delle policy di sicurezza e nell’archiviazione delle credenziali protette: tutte attività critiche nel panorama delle minacce attuale. Per migliorare il livello di sicurezza di questo sottosistema, Microsoft mette a disposizione la protezione LSA, che impedisce agli utenti di manomettere l’LSA e previene attacchi gravi al sistema.

Se sei un amministratore IT, questa guida ti aiuterà ad attivare o disattivare la protezione Local Security Authority (LSA) tramite Sicurezza di Windows, Editor del Registro di sistema, PowerShell e Criteri di gruppo, per garantire la sicurezza nella gestione dei dispositivi e nella distribuzione delle configurazioni su larga scala.

Per una guida visiva, guarda il nostro video su come abilitare o disabilitare la protezione Local Security Authority in Windows 11.

Che cos’è la protezione Local Security Authority

Local Security Authority (LSA) è un componente critico di Windows che gestisce l’autenticazione, le policy di sicurezza e l’archiviazione delle credenziali. È il guardiano del computer: verifica le credenziali, gestisce le modifiche delle password e crea i token di accesso quando gli utenti tentano di accedere al sistema. Il sottosistema LSA (LSASS) è il processo eseguibile che esegue l’LSA e ne implementa le funzionalità.

La protezione LSA rende LSASS più sicuro. Questa caratteristica di sicurezza esegue LSASS come processo protetto (PPL), impedendo che codice non attendibile – anche con diritti amministrativi – possa iniettarsi al suo interno. In questo modo vengono caricati solo servizi e processi attendibili, che non possono essere facilmente compromessi da processi malevoli o con privilegi ridotti, i quali potrebbero esporre il sistema al furto di credenziali e all’esecuzione di malware.

Metodi per abilitare o disabilitare la protezione Local Security Authority

La gestione della protezione LSA non segue un approccio unico valido per tutti. La scelta del metodo corretto dipende dal tuo ambiente (personale o enterprise), dalla scala della distribuzione, dalle esigenze di automazione e dai requisiti di sicurezza e conformità. (Verifica di soddisfare i prerequisiti prima di iniziare.)

Metodo 1: abilitare o disabilitare la protezione Local Security Authority dall’interfaccia di Sicurezza di Windows

È il metodo più semplice e intuitivo, perché mostra visivamente lo stato dell’LSA senza richiedere competenze di scripting o conoscenze avanzate. È l’ideale per utenti domestici e personale di supporto IT che effettua configurazioni manuali occasionali su singoli dispositivi. Tuttavia, questo metodo è disponibile solo sui dispositivi che supportano le configurazioni di sicurezza basata sulla virtualizzazione (VBS).

1. Apri Impostazioni > Privacy e sicurezza > Sicurezza di Windows > Sicurezza del dispositivo.
2. Nella sezione Isolamento core, fai clic su Dettagli isolamento core.
3. Individua la sezione Protezione Local Security Authority e attiva o disattiva l’impostazione.
4. Riavvia il dispositivo per applicare le modifiche.

Metodo 2: abilitare o disabilitare la protezione LSA tramite l’Editor del Registro di sistema

Questo metodo è indicato per utenti esperti, amministratori IT e tecnici che vogliono modificare manualmente il comportamento dell’LSA su gruppi di macchine. È consigliato in scenari di automazione, provisioning e distribuzione.

⚠️Nota: modifiche errate al registro possono causare gravi problemi di sistema, quindi valuta di eseguire un backup del registro prima di procedere. Per apportare modifiche al registro sono necessari i diritti di amministratore.

1. Apri l’Editor del Registro di sistema come amministratore. Premi Win + R, digita “regedit” e premi Ctrl + Maiusc + Invio.
2. Nel riquadro di sinistra dell’Editor del Registro di sistema, segui questo percorso: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa
3. Nel riquadro di destra della chiave Lsa:
   • Fai doppio clic su RunAsPPL e imposta il suo valore su 1 (abilita la protezione LSA) oppure 0 (la disabilita).
   • Puoi anche eseguire il passaggio facoltativo di impostare il valore di RunAsPPLBoot su 1, per garantire che l’LSA sia protetto già all’avvio.
     Nota: se questi valori DWORD non esistono, creali. Fai clic con il pulsante destro su un’area vuota del riquadro di destra della chiave LSA , passa il mouse su Nuovo, seleziona Valore DWORD (32 bit) e assegnagli il nome “RunAsPPL” o “RunAsPPLBoot”.
4. Riavvia il computer per applicare le modifiche.

Metodo 3: abilitare o disabilitare la protezione LSA con PowerShell

PowerShell è probabilmente il metodo migliore per gli amministratori di sistema che configurano dispositivi in blocco tramite script remoti o strumenti di distribuzione. Supporta distribuzioni ripetibili, scalabili e verificabili e può essere facilmente integrato in script di provisioning, script Intune o SCCM.

Nota: sono richiesti privilegi di amministratore

Per abilitare la protezione LSA:

1. Apri PowerShell con privilegi elevati. Premi Win + R, digita “powershell” e premi Ctrl + Maiusc + Invio.
2. Copia e incolla questo comando, poi premi Invio:
   Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" -Name "RunAsPPL" -Value 1 -Type DWord
   Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" -Name "RunAsPPLBoot" -Value 1 -Type DWord
3. Riavvia il dispositivo per applicare le modifiche.

Per disabilitare la protezione LSA:

1. Apri PowerShell con privilegi elevati. Premi Win + R, digita “powershell” e premi Ctrl + Maiusc + Invio.
2. Copia e incolla questo comando, poi premi Invio:
   Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" -Name "RunAsPPL" -Value 0 -Type DWord
3. Riavvia il dispositivo per applicare le modifiche.

Metodo 4: configurazione tramite Criteri di gruppo o strumenti di gestione enterprise

Questo metodo è pensato per ambienti enterprise, dove la gestione di centinaia o migliaia di dispositivi richiede controllo centralizzato, coerenza e verificabilità. Tieni presente che non esistono modelli GPO nativi ampiamente disponibili per la protezione LSA in Windows 11 (a partire dalla versione 22H2+), ma puoi comunque configurarla con:

• Preferenze Criteri di gruppo (per la distribuzione della chiave di registro)
• Intune (tramite OMA-URI o script PowerShell)

Indipendentemente dal meccanismo di distribuzione, dovrai distribuire le chiavi RunAsPPL e RunAsPPLBoot in HKLM\SYSTEM\CurrentControlSet\Control\Lsa per tutti gli utenti.

Prerequisiti prima di procedere

Prima di iniziare a configurare la protezione LSA devono essere soddisfatti alcuni prerequisiti di sistema e di sicurezza, in modo che le caratteristiche funzionino correttamente e in modo affidabile.

• Sistema Windows 11: l’LSA è completamente supportato a partire da Windows 8.1, ma è integrato in modo più stretto e consigliato in Windows 11.
• Privilegi amministrativi: devi eseguire PowerShell o l’Editor del Registro di sistema come amministratore. Anche le modifiche dall’interfaccia grafica attiveranno il Controllo dell’account utente (UAC).
• Sicurezza basata sulla virtualizzazione (VBS): la VBS consente l’isolamento dei processi protetti, incluso LSASS, utilizzando la virtualizzazione hardware. La protezione LSA è progettata per funzionare all’interno di questo modello, quindi se la VBS non è supportata la protezione potrebbe non attivarsi senza dare alcun segnale.
• Avvio protetto UEFI: abilitare l’Avvio protetto non è obbligatorio, ma è fortemente consigliato per rendere più efficace la protezione LSA.

Perché gestire la protezione Local Security Authority

Gestire la protezione LSA è fondamentale per mantenere la sicurezza, quindi la decisione di abilitarla o disabilitarla dipenderà dal tuo ambiente Windows e dalle esigenze specifiche.

Perché abilitare la protezione LSA

La protezione LSA è altamente consigliata nella maggior parte degli ambienti Windows moderni per i numerosi e importanti vantaggi di sicurezza che offre, tra cui:

• Prevenire il dumping delle credenziali e l’iniezione nei processi
• Supportare Avvio protetto, VBS e Credential Guard
• Rispettare le baseline di sicurezza di Windows 11
• Potenziare l’architettura Zero Trust

Perché disabilitare la protezione LSA

Se la protezione Local Security Authority è disattivata, il sistema diventa più vulnerabile alle violazioni di sicurezza. Tuttavia, alcuni scenari specifici possono giustificarne la disabilitazione, almeno temporanea:

• Quando ci sono problemi di compatibilità con software o driver legacy
• Durante la risoluzione di problemi di instabilità del sistema o di errori di accesso
• Quando i plugin LSA o i provider di credenziali hanno firme errate, metadati mancanti o una configurazione non compatibile con i processi protetti
• Durante i test in laboratorio o in un ambiente non di produzione

Altri aspetti da considerare nella gestione della protezione Local Security Authority

Implementare la protezione LSA non si riduce ad attivare un interruttore. Devi tenere conto di alcuni aspetti tecnici e operativi per garantire una distribuzione senza intoppi.

• Avvisi di Sicurezza di Windows: potresti visualizzare il messaggio “La protezione LSA è attiva ma non è configurata correttamente”, che indica che il sistema è ancora esposto a minacce di sicurezza. Devi verificare che tutti i componenti (inclusi i plugin LSA di terze parti) siano firmati. Puoi usare il Visualizzatore eventi per indagare, controllare le estensioni LSA o i provider di credenziali, oppure aggiornare/sostituire il software di terze parti che non soddisfa il requisito di firma.
• Registri eventi: gli eventi relativi alla protezione LSA vengono registrati nel Visualizzatore eventi, che può aiutarti a convalidare la configurazione e a diagnosticare i problemi. Per confermare che la protezione LSA sia operativa e che non ci siano configurazioni errate o moduli non firmati, controlla in Visualizzatore eventi > Registri di Windows > Sistema i seguenti ID evento relativi all’attività dell’LSA:
  • 1. 3065: indica che l’LSA è stato avviato come processo protetto
    2. 3089: avvisa che un plug-in è stato bloccato per mancanza di una firma valida
• Compatibilità: alcune applicazioni meno recenti, come provider di credenziali, driver per smart card o plugin antivirus, possono risultare incompatibili con la protezione LSA e quindi non funzionare o bloccarsi senza preavviso. È importante effettuare test di compatibilità in un ambiente di staging prima della distribuzione.
• Baseline di sicurezza: le baseline di sicurezza di Microsoft per Windows 11 consigliano di abilitare la protezione LSA su tutti gli endpoint gestiti a livello enterprise, sui dispositivi con accesso di utenti privilegiati e sui sistemi che utilizzano autenticazione passwordless, biometrica o SSO.

Un ambiente Windows più sicuro con la protezione Local Security Authority

Abilitare la protezione LSA in Windows 11 è fondamentale per l’hardening dell’autenticazione di sistema, per prevenire il furto di credenziali e per allinearsi alle best practice di sicurezza moderne. È però importante riconoscere che in casi specifici la protezione LSA potrebbe dover essere disabilitata temporaneamente, ad esempio durante i test di compatibilità, in presenza di driver legacy o durante la risoluzione di problemi di autenticazione.

Grazie ai diversi metodi di distribuzione – dalla configurazione tramite interfaccia grafica a strumenti enterprise scalabili come Criteri di gruppo e Intune – gli amministratori IT possono bilanciare sicurezza e stabilità operativa e rendere la protezione LSA una componente affidabile della loro strategia di hardening dei sistemi.