Como ativar ou desativar a proteção Local Security Authority no Windows 11

Local Security Authority (LSA) no Windows 11 tem papel central no gerenciamento da autenticação, na aplicação de políticas de segurança e no armazenamento de credenciais protegidas — tarefas críticas no cenário de ameaças atual. Para reforçar a postura de segurança desse subsistema, a Microsoft oferece a proteção LSA, que impede adulterações no LSA e bloqueia ataques graves ao sistema.

Se você trabalha como administrador de TI, este guia mostra como ativar ou desativar a proteção Local Security Authority (LSA) pela Segurança do Windows, pelo Editor do Registro, pelo PowerShell e pela Política de Grupo, garantindo segurança ao gerenciar dispositivos e aplicar configurações em escala.

Para um guia visual, assista ao nosso vídeo sobre como ativar ou desativar a proteção Local Security Authority no Windows 11.

O que é a proteção Local Security Authority?

Local Security Authority (LSA) é um componente crítico do Windows que cuida da autenticação, da política de segurança e do armazenamento de credenciais. Funciona como o porteiro do computador: verifica credenciais, gerencia alterações de senha e cria tokens de acesso quando alguém tenta fazer logon no sistema. O subsistema LSA (LSASS) é o processo executável que roda o LSA e implementa suas funções.

A proteção LSA deixa o LSASS mais seguro. Esse recurso executa o LSASS como processo protegido (PPL), o que impede a injeção de código não confiável — mesmo com direitos administrativos. Assim, só serviços e processos confiáveis são carregados, e processos maliciosos ou com menos privilégios não conseguem interferir neles, o que reduz o risco de roubo de credenciais e execução de malware.

Métodos para ativar ou desativar a proteção Local Security Authority

Não existe um método único para gerenciar a proteção LSA. A escolha depende do ambiente (pessoal ou corporativo), da escala da implantação, das necessidades de automação e dos requisitos de segurança e conformidade. (Verifique se atende aos pré-requisitos antes de começar.)

Método 1: ativar ou desativar a proteção Local Security Authority pela interface da Segurança do Windows

Esse é o método mais simples e intuitivo, porque mostra o status do LSA de forma visual, sem exigir conhecimento de scripts ou habilidades avançadas. É o ideal para usuários domésticos e equipes de suporte de TI que fazem uma configuração manual pontual em dispositivos individuais. Mas só funciona em dispositivos compatíveis com configurações de segurança baseada em virtualização (VBS).

1. Abra Configurações > Privacidade e segurança > Segurança do Windows > Segurança do dispositivo.
2. Na seção Isolamento do núcleo, clique em Detalhes do isolamento do núcleo.
3. Localize a seção Proteção da Autoridade de Segurança Local e ative ou desative a opção.
4. Reinicie o dispositivo para aplicar as alterações.

Método 2: ativar ou desativar a proteção LSA pelo Editor do Registro

Esse método atende melhor usuários avançados, administradores de TI e técnicos que querem ajustar manualmente o comportamento do LSA em grupos de máquinas. É recomendado em cenários de automação, provisionamento e implantação.

⚠️Observação: edições incorretas no registro podem causar problemas graves no sistema, então considere fazer backup do registro antes de continuar. É preciso ter direitos de administrador para alterar o registro.

1. Abra o Editor do Registro como administrador. Pressione Win + R, digite “regedit” e pressione Ctrl + Shift + Enter.
2. No painel esquerdo do Editor do Registro, siga este caminho: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa
3. No painel direito da chave Lsa:
   • Dê um duplo clique em RunAsPPL e altere o valor para 1 (ativa a proteção LSA) ou 0 (desativa).
   • Como etapa opcional, altere o valor de RunAsPPLBoot para 1 e garanta que o LSA fique protegido já na inicialização.
     Observação: se esses valores DWORD não existirem, crie-os. Clique com o botão direito em uma área vazia do painel direito da chave LSA, passe o cursor sobre Novo, selecione Valor DWORD (32 bits) e nomeie como “RunAsPPL” ou “RunAsPPLBoot”.
4. Reinicie o computador para aplicar as alterações.

Método 3: ativar ou desativar a proteção LSA com o PowerShell

O PowerShell costuma ser a melhor opção para administradores de sistemas que configuram dispositivos em massa por scripts remotos ou ferramentas de implantação. Ele permite implantações repetíveis, escaláveis e auditáveis, e se integra facilmente a scripts de provisionamento, scripts do Intune ou ao SCCM.

Observação: exige privilégios de administrador

Para ativar a proteção LSA:

1. Abra um PowerShell com privilégios elevados. Pressione Win + R, digite “powershell” e pressione Ctrl + Shift + Enter.
2. Copie e cole este comando antes de pressionar Enter:
   Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" -Name "RunAsPPL" -Value 1 -Type DWord
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" -Name "RunAsPPLBoot" -Value 1 -Type DWord
3. Reinicie o dispositivo para aplicar as alterações.

Para desativar a proteção LSA:

1. Abra um PowerShell com privilégios elevados. Pressione Win + R, digite “powershell” e pressione Ctrl + Shift + Enter.
2. Copie e cole este comando antes de pressionar Enter:
   Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" -Name "RunAsPPL" -Value 0 -Type DWord
3. Reinicie o dispositivo para aplicar as alterações.

Método 4: configurar pela Política de Grupo ou por ferramentas de gerenciamento corporativo

Esse método foi pensado para ambientes corporativos, onde gerenciar centenas ou milhares de dispositivos exige controle centralizado, consistência e auditabilidade. Vale lembrar que não há modelos GPO nativos amplamente disponíveis para a proteção LSA no Windows 11 (até a versão 22H2+), mas ainda dá para configurá-la com:

• Preferências de Política de Grupo (para implantar a chave de registro)
• Intune (com OMA-URI ou scripts do PowerShell)

Independentemente do mecanismo de entrega, você vai implantar as chaves RunAsPPL e RunAsPPLBoot em HKLM\SYSTEM\CurrentControlSet\Control\Lsa para todos os usuários.

Pré-requisitos antes de começar

Alguns pré-requisitos de sistema e de segurança precisam ser atendidos antes de configurar a proteção LSA, para que os recursos funcionem de forma correta e confiável.

• Sistema Windows 11: o LSA tem suporte completo desde o Windows 8.1, mas está mais integrado e é recomendado no Windows 11.
• Privilégios administrativos: é preciso executar o PowerShell ou o Editor do Registro como administrador. Alterações pela interface gráfica também acionam o UAC (Controle de Conta de Usuário).
• Segurança baseada em virtualização (VBS): a VBS isola processos seguros, incluindo o LSASS, usando virtualização de hardware. A proteção LSA foi projetada para operar nesse modelo, então pode falhar silenciosamente se não houver suporte a VBS.
• Inicialização Segura UEFI: ativar a Inicialização Segura não é obrigatório, mas é altamente recomendado para tornar a proteção LSA mais eficaz.

Por que gerenciar a proteção Local Security Authority?

Gerenciar a proteção LSA é essencial para manter a segurança, e a decisão de ativá-la ou desativá-la depende do ambiente Windows e da situação.

Motivos para ativar a proteção LSA

A proteção LSA é altamente recomendada na maioria dos ambientes Windows modernos, por trazer benefícios de segurança importantes, como:

• evitar o despejo de credenciais e a injeção de processos
• dar suporte à Inicialização Segura, à VBS e ao Credential Guard
• atender às linhas de base de segurança do Windows 11
• fortalecer a arquitetura de confiança zero

Motivos para desativar a proteção LSA

Com a proteção Local Security Authority desativada, o sistema fica mais vulnerável a violações de segurança. Ainda assim, alguns cenários justificam desligá-la, ao menos temporariamente:

• quando há problemas de compatibilidade com software ou drivers legados
• durante a solução de instabilidades do sistema ou falhas de login
• quando plugins do LSA ou provedores de credenciais estão assinados de forma incorreta, sem metadados ou mal configurados para compatibilidade com processos protegidos
• em testes em laboratório ou ambiente fora de produção

Outros pontos de atenção ao gerenciar a proteção Local Security Authority

Implementar a proteção LSA não se resume a acionar um botão. Alguns aspectos técnicos e operacionais merecem atenção para que a implantação ocorra sem sobressaltos.

• Avisos da Segurança do Windows: pode aparecer a mensagem “A proteção LSA está ativada, mas não está configurada corretamente”, o que indica que o sistema continua exposto a ameaças. Confirme que todos os componentes (inclusive plugins LSA de terceiros) estão assinados. Use o Visualizador de Eventos para investigar, auditar extensões do LSA ou provedores de credenciais, ou atualize/substitua softwares de terceiros que não cumpram o requisito de assinatura.
• Logs de eventos: os eventos da proteção LSA ficam registrados no Visualizador de Eventos, o que ajuda a validar a configuração e diagnosticar problemas. Para confirmar que a proteção LSA está operacional e que não há configurações erradas nem módulos sem assinatura, verifique em Visualizador de Eventos > Logs do Windows > Sistema as seguintes IDs de evento relacionadas ao LSA:
  • 1. 3065: indica que o LSA iniciou como processo protegido
    2. 3089: alerta que um plug-in foi bloqueado por falta de assinatura válida
• Compatibilidade: alguns aplicativos mais antigos, como provedores de credenciais, drivers de cartão inteligente ou plugins de antivírus, podem não ser compatíveis com a proteção LSA e falhar ou travar sem aviso. Por isso, faça testes de compatibilidade em um ambiente de homologação antes da implantação.
• Linhas de base de segurança: as linhas de base de segurança do Windows 11 da Microsoft recomendam ativar a proteção LSA em todos os endpoints gerenciados pela empresa, em dispositivos com acesso de usuários privilegiados e em sistemas que usam autenticação sem senha, biométrica ou SSO.

Um ambiente Windows mais seguro com a proteção Local Security Authority

Ativar a proteção LSA no Windows 11 é fundamental para fortalecer a autenticação do sistema, impedir o roubo de credenciais e seguir as boas práticas atuais de segurança. Ainda assim, vale reconhecer que em alguns casos ela precisa ser desativada temporariamente: durante testes de compatibilidade, no uso de drivers legados ou na solução de problemas de autenticação.

Com vários métodos de implantação, da configuração pela interface gráfica a ferramentas corporativas escaláveis como a Política de Grupo e o Intune, os administradores de TI conseguem equilibrar segurança e estabilidade operacional e transformar a proteção LSA em parte confiável da estratégia de fortalecimento do sistema.