Local Security Authority protection in Windows 11 in- of uitschakelen

Local Security Authority (LSA) protection in Windows 11 speelt een centrale rol bij het beheren van authenticatie, het afdwingen van beveiligingsbeleid en het opslaan van beschermde referenties – allemaal cruciale taken in het huidige dreigingslandschap. Om het beveiligingsbeleid van dit subsysteem te versterken, biedt Microsoft LSA protection, waarmee gebruikers de LSA niet kunnen manipuleren en ernstige aanvallen op het systeem worden voorkomen.

Bent u IT-beheerder? Dan helpt deze gids u bij het in- of uitschakelen van Local Security Authority (LSA) protection via Windows-beveiliging, Register-editor, PowerShell en Groepsbeleid, zodat de beveiliging gewaarborgd blijft bij het beheren van devices en het grootschalig uitrollen van configuraties.

Bekijk voor een visuele uitleg onze video over hoe u Local Security Authority protection in Windows 11 in- of uitschakelt.

Wat is Local Security Authority protection?

Local Security Authority (LSA) is een cruciaal Windows-onderdeel dat authenticatie, beveiligingsbeleid en de opslag van referenties afhandelt. Het is de poortwachter van de computer: de LSA controleert referenties, beheert wachtwoordwijzigingen en maakt toegangstokens aan wanneer gebruikers zich op het systeem proberen aan te melden. Het LSA-subsysteem (LSASS) is het uitvoerbare proces dat de LSA draait en de functionaliteit ervan implementeert.

LSA protection maakt LSASS veiliger. Deze beveiligingsfunctie draait LSASS als een protected process (PPL), waardoor niet-vertrouwde code er geen injectie in kan uitvoeren – zelfs niet met beheerdersrechten. Zo worden alleen vertrouwde services en processen geladen en kunnen kwaadaardige of minder bevoorrechte processen daar niet eenvoudig mee interfereren, processen die het systeem anders zouden blootstellen aan diefstal van referenties en de uitvoering van malware.

Methoden om Local Security Authority protection in of uit te schakelen

Het beheren van LSA protection is geen eenheidsworst. De juiste methode hangt af van uw omgeving (privé of zakelijk), de schaal van de uitrol, uw behoefte aan automatisering en uw beveiligings- en compliance-eisen. (Controleer of u aan de vereisten voldoet voordat u begint.)

Methode 1: Local Security Authority protection in- of uitschakelen via de Windows-beveiliging-GUI

Dit is de eenvoudigste en meest gebruiksvriendelijke methode, omdat u visuele feedback krijgt over de LSA-status zonder scriptkennis of geavanceerde vaardigheden. Deze methode is het meest geschikt voor thuisgebruikers en IT-supportmedewerkers die eenmalig handmatig een los device configureren. Ze werkt echter alleen op devices die configuraties met virtualization-based security (VBS) ondersteunen.

1. Open Instellingen > Privacy en beveiliging > Windows-beveiliging > Apparaatbeveiliging.
2. Klik onder het gedeelte Kernisolatie op Details van kernisolatie.
3. Zoek het gedeelte Local Security Authority-beveiliging en zet de instelling aan of uit.
4. Reboot uw device om de wijzigingen door te voeren.

Methode 2: LSA protection in- of uitschakelen via Register-editor

Deze methode is het meest geschikt voor gevorderde gebruikers, IT-beheerders en technici die het gedrag van de LSA handmatig willen aanpassen op groepen machines. Ze wordt aanbevolen voor automatisering, bevoorrading en uitrolscenario’s.

⚠️Let op: onjuiste registerwijzigingen kunnen ernstige systeemproblemen veroorzaken. Overweeg daarom een back-up te maken van het register voordat u verdergaat. Voor wijzigingen in het register zijn beheerdersrechten vereist.

1. Open de Register-editor als administrator. Druk op Windows-toets + R, typ “regedit” en druk op Ctrl + Shift + Enter.
2. Volg in het linkerdeelvenster van de Register-editor dit pad: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa
3. In het rechterdeelvenster van de sleutel Lsa:
   • Dubbelklik op RunAsPPL en wijzig de waarde in 1 (LSA protection inschakelen) of 0 (uitschakelen).
   • Optioneel kunt u ook de waarde van RunAsPPLBoot op 1 zetten, zodat de LSA al tijdens het opstarten beschermd is.
     Let op: bestaan deze DWORD-waarden niet, maak ze dan aan. Klik met de rechtermuisknop op een leeg gebied in het rechterdeelvenster van de sleutel LSA , ga naar Nieuw, selecteer DWORD-waarde (32-bits) en geef deze de naam “RunAsPPL” of “RunAsPPLBoot”.
4. Start de computer opnieuw op om de wijzigingen door te voeren.

Methode 3: LSA protection in- of uitschakelen met PowerShell

PowerShell is mogelijk de beste methode voor systeembeheerders die devices in bulk configureren via externe scripts of uitroltools. Deze aanpak ondersteunt herhaalbare, schaalbare en controleerbare uitrol en is eenvoudig op te nemen in bevoorradingsscripts, Intune-scripts of SCCM.

Let op: beheerdersrechten zijn vereist

LSA protection inschakelen:

1. Open een PowerShell met verhoogde rechten. Druk op Windows-toets + R, typ “powershell” en druk op Ctrl + Shift + Enter.
2. Kopieer en plak deze opdracht en druk daarna op Enter:
   Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" -Name "RunAsPPL" -Value 1 -Type DWord
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" -Name "RunAsPPLBoot" -Value 1 -Type DWord
3. Reboot uw device om de wijzigingen door te voeren.

LSA protection uitschakelen:

1. Open een PowerShell met verhoogde rechten. Druk op Windows-toets + R, typ “powershell” en druk op Ctrl + Shift + Enter.
2. Kopieer en plak deze opdracht en druk daarna op Enter:
   Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" -Name "RunAsPPL" -Value 0 -Type DWord
3. Reboot uw device om de wijzigingen door te voeren.

Methode 4: configureren via Groepsbeleid of enterprise-beheertools

Deze methode is bedoeld voor zakelijke omgevingen waar het beheer van honderden of duizenden devices vraagt om centrale controle, consistentie en controleerbaarheid. Houd er rekening mee dat er geen breed beschikbare native GPO-sjablonen voor LSA protection bestaan in Windows 11 (vanaf versie 22H2+), maar u kunt het nog steeds configureren met:

• Voorkeuren voor groepsbeleid (voor het uitrollen van registersleutels)
• Intune (met OMA-URI of PowerShell-scripts)

Welk uitrolmechanisme u ook kiest, u rolt de sleutels RunAsPPL en RunAsPPLBoot uit onder HKLM\SYSTEM\CurrentControlSet\Control\Lsa voor alle gebruikers.

Vereisten voordat u begint

Voordat u LSA protection configureert, moet aan bepaalde systeem- en beveiligingsvereisten zijn voldaan, zodat de functies correct en betrouwbaar werken.

• Windows 11-systeem: LSA wordt volledig ondersteund vanaf Windows 8.1, maar is in Windows 11 strakker geïntegreerd en wordt daar aanbevolen.
• Beheerdersrechten: u moet PowerShell of de Register-editor als administrator uitvoeren. Wijzigingen via de GUI activeren ook UAC (Gebruikersaccountbeheer).
• Virtualization-based security (VBS): VBS maakt het isoleren van veilige processen mogelijk, waaronder LSASS, met behulp van hardwarevirtualisatie. LSA protection is ontworpen om binnen dit model te werken, dus zonder ondersteuning voor VBS kan de bescherming stilzwijgend niet worden geactiveerd.
• UEFI Secure Boot: het inschakelen van Secure Boot is niet verplicht, maar wordt sterk aanbevolen om LSA protection effectiever te maken.

Waarom Local Security Authority protection beheren?

Het beheren van LSA protection is cruciaal voor het behouden van de beveiliging. De keuze om het in of uit te schakelen hangt dan ook af van uw Windows-omgeving en de situatie.

Waarom LSA protection inschakelen

LSA protection wordt in de meeste moderne Windows-omgevingen sterk aanbevolen vanwege de vele belangrijke beveiligingsvoordelen, zoals:

• Het voorkomen van credential dumping en process injection
• Ondersteuning voor Secure Boot, VBS en Credential Guard
• Het voldoen aan de beveiligingsbaselines van Windows 11
• Het versterken van een Zero Trust-architectuur

Waarom LSA protection uitschakelen

Staat Local Security Authority protection uit, dan wordt uw systeem kwetsbaarder voor beveiligingsinbreuken. Toch zijn er specifieke situaties waarin uitschakelen gerechtvaardigd kan zijn, in elk geval tijdelijk:

• Bij compatibiliteitsproblemen met verouderde software of stuurprogramma’s
• Tijdens het oplossen van systeeminstabiliteit of aanmeldfouten
• Wanneer LSA-plug-ins of referentieproviders onjuist zijn ondertekend, metadata missen of verkeerd zijn geconfigureerd voor compatibiliteit met protected processes
• Tijdens tests in een lab- of niet-productieomgeving

Andere aandachtspunten bij het beheren van Local Security Authority protection

Het implementeren van LSA protection is niet zo eenvoudig als het omzetten van een schakelaar. U moet rekening houden met enkele technische en operationele punten voor een soepele uitrol.

• Waarschuwingen van Windows-beveiliging: mogelijk ziet u de melding “LSA-beveiliging is ingeschakeld, maar niet correct geconfigureerd”. Dat betekent dat uw systeem nog steeds vatbaar is voor beveiligingsdreigingen. U moet controleren of alle onderdelen (inclusief LSA-plug-ins van derden) zijn ondertekend. Gebruik Logboeken om onderzoek te doen, controleer LSA-extensies of referentieproviders of werk software van derden die niet aan de ondertekeningsvereiste voldoet bij of vervang deze.
• Gebeurtenislogboeken: gebeurtenissen rond LSA protection worden vastgelegd in Logboeken, wat helpt om de configuratie te valideren en problemen te diagnosticeren. Wilt u bevestigen dat LSA protection werkt en dat er geen verkeerde configuraties of niet-ondertekende modules zijn? Controleer dan Logboeken > Windows-logboeken > Systeem op de volgende gebeurtenis-ID’s voor LSA-gerelateerde activiteit:
  • 1. 3065: geeft aan dat de LSA als protected process is gestart
    2. 3089: waarschuwt dat een plug-in is geblokkeerd omdat een geldige handtekening ontbreekt
• Compatibiliteit: sommige oudere applicaties, zoals referentieproviders, smartcardstuurprogramma’s of antivirusplug-ins, zijn mogelijk niet compatibel met LSA protection en kunnen daardoor stilzwijgend falen of crashen. Voer daarom compatibiliteitstests uit in een testomgeving voordat u uitrolt.
• Beveiligingsbaselines: de beveiligingsbaselines van Microsoft voor Windows 11 raden aan LSA protection in te schakelen op alle zakelijk beheerde endpoints, devices met geprivilegieerde gebruikerstoegang en systemen die wachtwoordloze, biometrische of SSO-authenticatie gebruiken.

Een veiligere Windows-omgeving bouwen met Local Security Authority protection

LSA protection inschakelen in Windows 11 is cruciaal voor het verharden van systeemauthenticatie, het voorkomen van diefstal van referenties en het aansluiten bij moderne beste praktijken op beveiligingsgebied. Houd er wel rekening mee dat LSA protection in specifieke gevallen tijdelijk moet worden uitgeschakeld, bijvoorbeeld tijdens compatibiliteitstests, bij verouderde stuurprogramma’s of bij het oplossen van authenticatieproblemen.

Met meerdere uitrolmethoden, van configuratie via de GUI tot schaalbare zakelijke tools zoals Groepsbeleid en Intune, kunnen IT-beheerders beveiliging en operationele stabiliteit in balans brengen en LSA protection tot een betrouwbaar onderdeel van hun hardeningstrategie maken.