lsass.exe狂占cpu

mark_tj_cu

是臺域控，2003的版本，發(fā)現(xiàn)lsass.exe占cpu很多，如何判斷是那些客戶端導致的呢？

struggle

分析:
====
Lsass是一個關鍵的系統(tǒng)進程,全名是 “l(fā)ocal security authority subsystem service”. 他是負責當前計算機和安全相關的一系列任務. 例如安全策略的應用,登陸和訪問計算機,修改密碼,產生訪問token等等


我們做的應該是把問題確定下來.我們需要弄清楚這是一個正常的現(xiàn)象,或者是客戶端不正常訪問造成的,還是服務器本身的問題.
測試的方法其實很簡單.斷開DC的網絡然后重啟DC,觀察LSASS進程的CPU占有率是否有變化.

如果問題依然存在,那就應該是計算機本身的問題.根據(jù)我的經驗,通常這個問題是由以下原因造成的.
1. 系統(tǒng)本身的問題.
我們有很多系統(tǒng)更新是和這個服務有關的,我建議您先把服務打上最新的補丁.
2. 軟件的兼容性問題.
有些軟件會和DC有兼容性問題. 我們可以回憶最近DC上軟件環(huán)境的變化并比較這個現(xiàn)象發(fā)生的時間來大概確定范圍.
我們可以用msconfig的diagnose 模式和safemode 來嘗試排除問題.
3. 病毒或者惡意軟件的問題.您
有很多已知的病毒和惡意軟件會攻擊和影響這個關鍵進程的運行,我們也需要注意這個可能性.

mark_tj_cu

是在正式的環(huán)境中，不能隨便就停機或重啟，所以目前就采取了抓包分析和用accountslockout的工具進行查看

mark_tj_cu

有幾個用戶端好像中病毒了，木馬或蠕蟲吧，還在殺毒中

struggle

用戶端中毒不斷的使用服務器驗證，導致的DC負載過高？

mark_tj_cu

發(fā)現(xiàn)的病毒：w32/conficker.worm.gen.a
                  generic.dx!ekj
                  w32/hllp.philis.remnants