Solucionar el problema de que seguridad de Windows dice que la protección de la autoridad de seguridad local está desactivada

Solución rápida: Abre Seguridad de Windows → Seguridad del dispositivo → Aislamiento del núcleo → Protección de la autoridad de seguridad local. Actívala. Reinicia. La característica requiere TPM 2.0 y una CPU reciente; si el interruptor está atenuado, tu hardware no la admite.

Seguridad de Windows muestra un signo de exclamación amarillo: “La protección de la autoridad de seguridad local está desactivada”. Esta es una nueva defensa contra el robo de credenciales (protección del proceso LSASS). Habilitarla añade otra capa de seguridad. Algunos hardware no pueden admitirla.

Qué causa esto

La autoridad de seguridad local (LSA) es un proceso de Windows que maneja la autenticación. Los atacantes apuntan a LSA para extraer hashes de contraseñas de la memoria (ataques pass-the-hash, mimikatz). La protección de LSA ejecuta LSA como un proceso protegido ligero (PPL), lo que dificulta el volcado de memoria.

Microsoft introdujo la protección de LSA en Windows 11 22H2 y comenzó a pedir a los usuarios que la habilitaran. El valor predeterminado puede estar desactivado en PC actualizados desde versiones anteriores de Windows.

Método 1: Habilitar a través de la interfaz de Seguridad de Windows

La ruta estándar.

1. Abre Seguridad de Windows: Menú Inicio → buscar → Seguridad de Windows.
2. Haz clic en Seguridad del dispositivo en la barra lateral izquierda.
3. Encuentra la sección Aislamiento del núcleo. Haz clic en Detalles del aislamiento del núcleo.
4. Encuentra Protección de la autoridad de seguridad local. Actívala.
5. Windows te pedirá reiniciar. Haz clic en Reiniciar.
6. Después de reiniciar: la protección de LSA está activa. La exclamación amarilla en el centro de seguridad desaparece.
7. Si el interruptor está atenuado: tu hardware/firmware no lo admite. Consulta el Método 3.

Esta es la solución canónica.

Método 2: Habilitar a través del registro (para automatización/solución de problemas)

Para cuando la interfaz falla o para configuración mediante scripts.

1. Abre el Editor del Registro.
2. Navega a HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa.
3. Encuentra o crea el valor DWORD RunAsPPL.
4. Establécelo en 2 (habilitado con bloqueo UEFI) o 1 (habilitado sin bloqueo UEFI).
5. Para RunAsPPLBoot DWORD = 2: habilita la protección desde el arranque.
6. Reinicia.
7. Para Directiva de grupo (Pro/Empresa): gpedit.msc → Configuración del equipo → Plantillas administrativas → Sistema → Autoridad de seguridad local → Configurar LSASS para que se ejecute como un proceso protegido. Establécelo en Habilitado, con Bloqueo UEFI.
8. Para PowerShell: reg add HKLM\SYSTEM\CurrentControlSet\Control\Lsa /v RunAsPPL /t REG_DWORD /d 2 /f.

Esta es la ruta correcta para implementación mediante scripts.

Método 3: Verificar la compatibilidad del hardware

Para cuando el interruptor está atenuado.

1. La protección de LSA requiere:
   • TPM 2.0: tpm.msc — confirma que esté Listo.
   • Arranque seguro habilitado: msinfo32 — verifica “Estado de arranque seguro”.
   • Firmware UEFI (no BIOS heredado).
   • CPU x64 con extensiones de virtualización (Intel VT-x o AMD-V).
   • Seguridad basada en virtualización (VBS) habilitada: Seguridad de Windows → Aislamiento del núcleo → Integridad de la memoria debería estar disponible.
2. Si falta TPM: habilítalo en BIOS (Intel: PTT; AMD: fTPM). Guarda y reinicia.
3. Si el arranque seguro está desactivado: habilítalo en BIOS → Arranque → Arranque seguro → Habilitar. Puede requerir desactivar el modo CSM/Legado.
4. Para CPUs antiguas (anteriores a 2017): el hardware puede no admitir todas las características requeridas. La protección de LSA puede no estar disponible genuinamente.
5. Ejecuta la aplicación PC Health Check de Microsoft — verifica la compatibilidad con Windows 11, incluyendo características de seguridad.

Esto aborda los requisitos del lado del hardware.

Cómo verificar que la solución funcionó

• Seguridad de Windows → Seguridad del dispositivo → La protección de LSA muestra Activada.
• El banner de exclamación amarilla en Seguridad de Windows desaparece.
• Ejecuta Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" -Name RunAsPPL en PowerShell. Valor 1 o 2.
• Visor de eventos → Registros de aplicaciones y servicios → Microsoft → Windows → CodeIntegrity → Operacional. Busca entradas sobre la protección de LSA habilitada correctamente.

Si ninguno de estos funciona

Si la protección de LSA no se puede habilitar: Controladores incompatibles: la protección de LSA bloquea que controladores sin firmar o antiguos se inyecten en LSA. Actualiza todos los controladores, especialmente antivirus, lectores de tarjetas inteligentes. Revisa el Visor de eventos: habilitar LSA puede haber fallado silenciosamente. Busca en el registro del sistema errores de Origen LsaSrv. Para PC con proveedores de autenticación de terceros: algunos proveedores de tarjetas inteligentes, controladores biométricos no admiten la protección de LSA. El proveedor debe lanzar un controlador compatible. Para PC unidos a un dominio: los requisitos de confianza del dominio pueden no coincidir con la protección de LSA. Contacta con TI. Último recurso — deshabilitar si causa fallos en aplicaciones: la protección de LSA puede romper algunas aplicaciones que se enganchan a LSA. RunAsPPL = 0 deshabilita. Intercambia seguridad por compatibilidad.

En resumen: Seguridad de Windows → Seguridad del dispositivo → Aislamiento del núcleo → activa la protección de la autoridad de seguridad local. Requiere TPM 2.0, arranque seguro, CPU reciente. Reinicia.