Cómo habilitar la protección LSA de forma segura en Windows 11

Solución rápida: Protección LSA (Local Security Authority): evita la inyección de código en el proceso LSA (protege contra el robo de credenciales). Habilítela mediante Seguridad de Windows → Seguridad del dispositivo → Aislamiento del núcleo → Protección de la Autoridad de seguridad local → actívela. Reinicie. Pruebe la compatibilidad con aplicaciones y complementos. Si hay problemas: en el mismo lugar, desactívela.

La Protección LSA (RunAsPPL) refuerza el proceso de almacenamiento de credenciales. Windows 11 moderno la habilita de forma predeterminada en instalaciones nuevas. En instalaciones actualizadas: puede estar desactivada. Se recomienda por seguridad, pero primero verifique la compatibilidad de las aplicaciones.

Qué causa esta necesidad

LSA (lsass.exe) almacena: credenciales en caché, tickets Kerberos, hashes NTLM. Los atacantes lo atacan. La Protección LSA ejecuta lsass.exe como Protected Process Light (PPL): solo el código firmado por Microsoft puede interactuar. Mitiga: Mimikatz, malware de volcado de credenciales.

Método 1: Habilitar mediante Seguridad de Windows

La ruta estándar.

1. Abra Seguridad de Windows.
2. Elija Seguridad del dispositivo.
3. Haga clic en Detalles del aislamiento del núcleo.
4. Busque Protección de la Autoridad de seguridad local.
5. Active Activado. Se solicitará UAC.
6. Reinicie.
7. Después de reiniciar: verifique que Seguridad de Windows muestre Protección LSA: Activada.
8. Para instalaciones nuevas de Win11: normalmente activada de forma predeterminada.
9. Para actualizaciones desde Win10: puede requerir activación manual.

Esta es la configuración estándar.

Método 2: Habilitar mediante el Registro (si la interfaz de Seguridad está oculta)

Para equipos administrados por directivas.

1. Abra el Editor del Registro como Administrador.
2. Navegue a: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa.
3. Busque o cree el DWORD: RunAsPPL. Valor 1 (habilitado con bloqueo UEFI) o 2 (habilitado, sin bloqueo).
4. Aplique.
5. Reinicie.
6. Alternativa con Directiva de grupo: Configuración del equipo → Plantillas administrativas → Sistema → Autoridad de seguridad local → Configurar LSASS para que se ejecute como proceso protegido → Habilitada.
7. Para comprobar: Get-WmiObject -Class Win32_Service -Filter "Name='LsaSvc'" muestra el servicio en ejecución.
8. Para verificación por proceso: Process Explorer (Sysinternals) muestra lsass.exe con el icono PPL.

Esta es la ruta del Registro.

Método 3: Verificar la compatibilidad antes de habilitar

Para evitar fallos.

1. Las aplicaciones que se enganchan a LSA pueden fallar:
   • Algunos antivirus de terceros (versiones antiguas).
   • Algunos clientes VPN.
   • Algunas herramientas de inicio de sesión único.
   • Algunos complementos de autenticación.
2. Para probar: habilítela temporalmente (Bloqueo UEFI = no para revertir fácilmente).
3. Reinicie. Pruebe las aplicaciones y flujos de trabajo críticos.
4. Revise el Visor de eventos → Registros de Windows → Sistema → origen Lsa. Evento 3033 = denegado; 3065 = infracción de integridad de código.
5. Si hay problemas: deshabilítela temporalmente (desactive en Seguridad de Windows), actualice la aplicación problemática y vuelva a habilitarla.
6. Para problemas de compatibilidad crónicos: presente un informe al proveedor de la aplicación. Deben firmar con el EKU adecuado.
7. Para entornos administrados por la empresa: pruebe primero en un entorno de ensayo.
8. Para verificar la Protección LSA: Get-MpComputerStatus | Select-Object IsTamperProtected relacionado.

Esta es la verificación de compatibilidad.

Cómo verificar que la solución funcionó

• Seguridad de Windows → Seguridad del dispositivo → Aislamiento del núcleo: Protección LSA Activada.
• Visor de eventos: los eventos LSA muestran el inicio en modo protegido.
• Process Explorer: lsass.exe muestra Protected Process.
• El sistema se inicia normalmente sin errores.

Si nada de esto funciona

Si la Protección LSA no se habilita: Requisito de hardware: requiere Arranque seguro. Verifique: msinfo32 → Estado del Arranque seguro: Activado. Para conflictos con Hyper-V: poco frecuente. Hyper-V usa VBS / Integridad de memoria. La Protección LSA es complementaria. Para fallos crónicos de aplicaciones: el proveedor debe actualizar para la compatibilidad con PPL. Para Windows 11 Education / Home: la característica está disponible en todas las ediciones. Para empresas: aplicación mediante Directiva de grupo. Para compilaciones Insider: la característica puede cambiar; consulte la documentación actual. Para verificar mediante PowerShell: $lsa = Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" -Name RunAsPPL -ErrorAction SilentlyContinue; if ($lsa) { Write-Host "Value: $($lsa.RunAsPPL)" }.

Conclusión: Seguridad de Windows → Seguridad del dispositivo → Aislamiento del núcleo → Protección de la Autoridad de seguridad local → Activado. Reinicie. Pruebe la compatibilidad de las aplicaciones. Deshabilítela temporalmente si una aplicación específica falla.