수천 개의 부품이 움직이는 자동차를 상상해 보세요. 보닛을 열면 모든 부품이 빙글빙글 돌아가는 모습을 볼 수 있죠. 어느 하나가 예상 밖의 동작을 하기 전까지는 각 부품이 정확히 어떤 역할을 하는지 알기 어렵습니다. 그래도 뭔가 잘못됐을 때는 확실히 눈치챌 수 있습니다.
윈도우 프로세스 중 일부도 마찬가지입니다. lsass.exe가 대표적인 예죠. lsass.exe가 제 몫을 다하고 있을 때는 아무도 신경 쓰지 않지만, CPU 사용량이 급증하거나 오류로 종료되기 시작하면 "이게 왜 있는 거지?"라며 궁금해하게 됩니다.
lsass.exe란 무엇이며 안전한가?
모든 도구는 잘못된 손에 들어가면 무기가 됩니다. lsass.exe의 LSASS는 Local Security Authority Subsystem Service(로컬 보안 기관 하위 시스템 서비스)의 약자입니다. 로컬 보안 기관(LSA)은 사용자를 인증하고 로그온시키는 시스템으로, 보안 정책을 관리하고 보안 관련 이벤트에 대한 시스템 로그 경고를 생성하는 역할도 담당합니다.
즉, lsass.exe가 제대로 작동할 때는 강력한 도구이면서 매우 안전합니다. 반대로 제 역할을 하지 못한다면 어떤 일이 벌어질지 쉽게 짐작할 수 있겠죠.
윈도우 11/10에서 lsass.exe를 삭제해도 될까?
가짜 lsass.exe라고 확신하지 않는 한 윈도우에서 lsass.exe를 삭제하지 마세요. 그만큼 윈도우 11/10 운영에 필수적인 프로세스입니다. 작업 관리자에서 lsass.exe 프로세스를 종료하려고 하면 "'Local Security Authority Process' 시스템 프로세스를 끝내시겠습니까?"라는 경고 메시지가 나타납니다.
여기서 '예'를 선택하면 윈도우가 종료되고 저장하지 않은 작업은 모두 사라집니다. 실제로 lsass.exe가 어떤 이유로든 실패하면 윈도우가 즉시 종료될 가능성이 높습니다.
lsass.exe가 진짜인지 확인하는 방법
lsass.exe가 문제를 일으키고 있다고 의심된다면, 먼저 그것이 진짜 lsass.exe인지부터 확인해야 합니다.
1. 파일 이름을 꼼꼼히 살펴보기
소문자 l(L), 대문자 i(I), 숫자 1은 눈으로 구분하기 매우 까다롭습니다. 해커들은 이 문자들을 서로 바꿔치기합니다. 진짜라고 생각했던 lsass.exe가 사실은 Isass.exe나 1sass.exe일 수 있다는 뜻입니다.
또한 가짜 프로세스의 이름에는 미세한 철자 변형이 있을 수 있습니다. S가 하나 더 있거나, 공백이 삽입되어 있거나, 쉽게 놓치기 쉬운 사소한 차이가 숨어 있으니 주의 깊게 살펴보세요.
2. 디지털 서명과 파일 위치 확인
- Ctrl + Shift + Esc 키를 눌러 작업 관리자를 엽니다. 세부 정보를 선택하세요.
- 목록을 내려 Local Security Authority Process를 찾습니다. 마우스 오른쪽 버튼으로 클릭한 후 속성을 선택합니다.
- 일반 탭에서 위치가 C:\Windows\System32(또는 해당 시스템의 동등한 경로)로 표시되어야 합니다. 크기는 약 58KB에 가까워야 하며, 그 두 배를 넘는다면 문제가 있을 가능성이 큽니다.
- 디지털 서명 탭에서 서명자 이름이 Microsoft Windows Publisher로 되어 있는지 확인합니다.
3. Microsoft Defender로 lsass.exe 검사하기
- 작업 관리자에서 다시 Local Security Authority Process를 찾아 마우스 오른쪽 버튼으로 클릭한 후 파일 위치 열기를 선택합니다.
- 파일 탐색기가 열리고 lsass.exe가 선택된 상태로 표시됩니다. 마우스 오른쪽 버튼으로 클릭한 후 Microsoft Defender로 검사를 선택합니다.
- 검사 결과가 "현재 위협 없음"으로 표시되어야 합니다.
그래도 걱정된다면 신뢰할 수 있는 다른 백신 또는 안티멀웨어 프로그램으로 동일한 검사를 진행해 보세요.
위의 검사 중 하나라도 통과하지 못한다면, 지체 없이 컴퓨터에서 바이러스나 멀웨어를 제거하는 절차를 시작해야 합니다.
lsass.exe가 CPU, RAM 등 시스템 리소스를 많이 사용할 수 있나?
대부분의 핵심 윈도우 프로세스는 많은 리소스를 사용하지 않습니다. 맡은 일이 제한적이고 그 일을 수행하는 데 필요한 것도 적기 때문입니다. 다만 lsass.exe는 로그인 처리 같은 작업 중에는 사용량이 잠깐 치솟을 수 있으며, 1~2초 안에는 거의 0에 가까운 수준으로 돌아와야 정상입니다.
도메인 컨트롤러(DC) 서버에서 lsass.exe의 CPU 사용량이 상당히 높다면, 대량의 사용자 보안을 처리하고 있기 때문일 가능성이 큽니다. lsass.exe는 Active Directory 데이터베이스를 제어하기 때문에, Active Directory(AD)에 대해 아는 분이라면 DC에서 lsass.exe가 일반 PC보다 더 많은 리소스를 쓰는 것이 놀랍지 않을 겁니다.
DC에서는 로그온·로그오프 피크 시간을 제외하고 lsass.exe의 CPU 사용량이 10% 미만을 유지하는 것이 정상입니다. 일반 PC에서는 대부분의 시간 동안 1% 미만이어야 합니다.
lsass.exe의 RAM 또는 네트워크 사용량이 비정상적으로 높아 보인다면, 진짜 lsass.exe가 아니거나 감염되었을 가능성이 있습니다. Microsoft Defender 오프라인 검사 실행 등 평소의 예방 조치를 취하세요.
보안에 영향을 주는 요소라면 무엇이든 lsass.exe의 리소스 사용량에 영향을 줄 수 있습니다. 대표적인 예가 DC와 연결된 시스템 간의 시간 차이입니다. 보안 인증서 등에서는 정확한 시간이 매우 중요합니다. DC와 연결된 시스템들의 시간 차이를 점검하고, 도메인 내 모든 장치의 시간을 동기화하기 위해 NTP(Network Time Protocol) 서버 사용을 고려해 보세요.
손상된 시스템 파일도 정상적인 lsass.exe의 높은 리소스 사용 원인이 될 수 있습니다. SFC와 DISM 명령어를 사용해 시스템 파일을 정리하고 복구해 보세요.
오프라인 바이러스 검사와 SFC·DISM 명령으로도 문제가 해결되지 않는다면, 윈도우를 초기화하고 재설치하는 것이 유일한 방법일 수 있습니다.
윈도우 프로세스에 대해 더 알아보려면?
윈도우 장치가 어떻게 작동하는지에 관심을 가지셨다니 훌륭합니다! 저희는 윈도우 프로세스의 역할, 삭제 가능 여부, CPU·메모리·네트워크·디스크 사용량이 과도해지는 이유 등을 다룬 다양한 글을 준비하고 있습니다.
SysInternals Process Monitor와 Process Explorer를 활용한 문제 해결 방법도 함께 소개하고 있으니 참고하세요. 궁금한 프로세스에 대한 글이 없다면 언제든 알려주세요. 기꺼이 작성해 드리겠습니다.