Når du begynder at rode med ukendt software, mærkelige scripts sendt til dig via chat, eller vedhæftede filer, du ikke fuldt ud stoler på, har du en isoleret miljø, hvor intet af det kan ødelægge din Windows Det er praktisk talt obligatorisk. Inden for sikkerhed kaldes dette sandboxing. Det betyder at skabe en slags kontrolleret miljø, hvor man kan køre tests uden frygt for at få systemet til at gå ned eller lække følsomme data.
Det gode er, at du i mange tilfælde kan montere denne beskyttelse på en måde, der manuel og uden at installere tredjepartsprogrammerudnytter det, som Windows allerede tilbyder (f.eks. Windows-sandkasseeller endda ved at bruge sandbox-miljøer, der er afhængige af operativsystemprimitiver i macOS, Linux eller WSL2. Og når du har brug for at gå et skridt videre, har du værktøjer som Sandboxie Plus, der giver dig fin kontrol over, hvad hver applikation kan gøre.
Hvad er sandboxing præcist, og hvorfor kunne du være interesseret i at bruge det?
Kort sagt er en sandkasse en sikkerhedsmekanisme, der adskiller udførelsen af programmer Så selvom noget går galt eller er ondsindet, forbliver skaden begrænset til det pågældende miljø og når ikke hovedsystemet eller dine personlige data. Denne isolation kan påvirke CPU'en, hukommelsen, disken, netværket og endda inputenheder.
En af de mest almindelige anvendelser af sandkassen er kører upålidelige applikationerDisse omfatter installationsprogrammer downloadet fra tvivlsomme websteder, mistænkelige e-mailvedhæftninger eller binære filer modtaget via beskeder. Ved at opbevare dem i et isoleret miljø begrænses deres adgang til ressourcer såsom lagerplads, netværk, inspektion af værtssystemer eller læsning af inputenheder stærkt. begrænset eller direkte blokeretafhængigt af hvordan du konfigurerer beskyttelsen.
Et klassisk eksempel på en sandkasse er komplette virtuelle maskinerDisse emulatorer emulerer en hel computer og indlæser et gæsteoperativsystem, der er helt separat fra værten. Gæstesystemet kører ikke native, men snarere gennem emulatoren eller hypervisoren. Det kan kun få adgang til værtens fysiske ressourcer gennem dette mellemliggende lag.
Virtuelle maskiner er dog ikke den eneste type sandkasse, der findes. Moderne browsere som Chrome, Chromium eller Edge De bruger flere lag af procesisolering, så en kompromitteret fane ikke trækker resten af systemet ned. Tilsvarende tilbyder nogle moderne udviklingsværktøjer deres egen interne sandkasse til at køre kodeagenter, scripts og terminalkommandoer med meget begrænsede tilladelser.
I Windows-økosystemet har du udover virtuelle maskiner også muligheder som f.eks. Windows Sandkasse og avancerede løsninger som Sandboxie Plus. Løsninger, der opretter et separat operativsystemmiljø til dine programmer. Og hvis du ser på andre systemer, bruger projekter som native sandbox-udviklingsagenter systemprimitiver (Seatbelt på macOS, seccomp eller Landlock på Linux, bubblewrap osv.) til at forstærke denne isolation.
Windows Sandbox (WSB): Sandkassen, der er indbygget i Windows 10 og 11
Microsoft inkluderede en funktion i Windows 10 og Windows 11 kaldet Windows-sandkasse (Windows Sandbox, WSB), designet så enhver bruger kan have en brugsklar "mini virtuel maskine" uden meget besvær. Den er baseret på hypervisor-virtualisering (Hyper-V) og opsætter en let, midlertidigt og helt separat skrivebordsmiljø af hovedsystemet.
Inden for det isolerede rum kan du installere og køre programmer med fuldstændig ro i sindet. Alt, hvad der sker derinde, bliver derindeNår du lukker sandkassevinduet, slettes den installerede software, de oprettede filer og endda systemtilstanden, som om den aldrig har eksisteret. Hver gang du starter det, får du en ny og ren instans, svarende til en frisk Windows-installation.
Host-applikationer deles ikke automatisk med sandkassen. Hvis du har brug for noget indeni, skal du... installer det eksplicit i det isolerede miljøEller tilknyt mapper efter syntaksen i .wsb-filer, hvor du endda kan markere stier i skrivebeskyttet tilstand og deaktivere netværket for at tilføje et ekstra lag af sikkerhed.
Teknisk set opfører WSB sig som en engangs virtuel maskineDen er dog meget lettere end en konventionel VM. Den udnytter filer fra værtens operativsystem, bruger en separat, nedskaleret kerne og anvender optimeringer for at reducere hukommelsesforbruget og fremskynde opstartstiden. På denne måde kan du have den oppe at køre på få sekunder.
Nøglefunktioner i Windows Sandbox
En af de klareste fordele ved WSB er, at det er en del af professionelle udgaver af WindowsDerfor behøver du ikke at installere en tredjeparts hypervisor eller en komplet virtualiseringsløsning for at have en rimelig robust sandkasse. Alt er allerede i systemet, klar til at blive aktiveret fra de valgfrie funktioner.
Dette isolerede rum er fuldstændig engangsbrug og uberørtHver opstart svarer til at starte en frisk Windows-installation. Intet gemmes, når du lukker vinduet, hvilket i høj grad forenkler softwaretestning og forhindrer ophobning af programrester eller usædvanlige konfigurationer over tid.
Med hensyn til sikkerhed er Windows Sandbox baseret på hardwarevirtualisering for at isolere kernenDen bruger Microsofts hypervisor til at køre en separat kerne, der strengt isolerer sandkassen fra hovedsystemet. Dette reducerer angrebsfladen betydeligt, hvis den eksekverbare fil, du tester, indeholder malware, exploits eller uventet adfærd.
Med hensyn til ydeevne er WSB designet til at være hurtig og effektivDen bruger den virtuelle GPU, en integreret kerneplanlægger og intelligent hukommelsesstyring, hvilket resulterer i korte opstartstider og lavere ressourceforbrug end en fuld virtuel maskine med sit eget uafhængige operativsystem.
Da det er inkluderet i Windows 10 Pro, Enterprise og Education, såvel som i Windows 11 Pro og Enterprise, Du behøver ikke eksterne VHD'er eller yderligere licenserSystemet bruger et reduceret billede af selve Windows, cirka 100 MB, til at køre miljøet, hvilket forenkler vedligeholdelse og reducerer yderligere downloads.
Redigerings-, licens- og hardwarekrav til brug af WSB
Windows Sandbox er ikke tilgængelig i alle versioner af systemet. For at aktivere det skal du bruge en kompatibel udgave af WindowsWindows 10 Pro, Enterprise eller Education (inklusive Pro Education/SE), eller Windows 11 Pro og Enterprise, understøttes. Windows Home er undtaget for nuværende, da Microsoft ikke tilbyder officiel WSB-understøttelse til den version.
Hvad angår licenser, er rettighederne til at bruge det isolerede område inkluderet i Windows-licenser rettet mod professionelle og uddannelsesmæssige miljøerDette omfatter Windows Pro og Pro Education/SE, Windows Enterprise E3 og E5 samt A3- og A5-uddannelseslicenserne. Alle oplysninger om licensering kan findes i den generelle Windows-licensdokumentation.
Fra et hardwareperspektiv har systemet brug for en CPU med virtualiseringsfunktioner (i AMD64- eller moderne ARM64-arkitektur i tilfælde af Windows 11), mindst 4 GB RAM (8 GB anbefales for ekstra kapacitet), 1 GB ledig diskplads (ideelt set på SSD) og mindst to CPU-kerner, hvor fire med hyper-threading er ønskeligt for en mere jævn ydeevne.
Det er essentielt, at virtualisering er aktiveret i BIOS/UEFI af det fysiske udstyr. Hvis du er inde i en virtuel maskine, skal du også aktivere indlejret virtualisering og i nogle tilfælde opdatere den virtuelle maskine for at tilføje denne funktionalitet ved hjælp af PowerShell-kommandoer til at eksponere virtualiseringsudvidelserne og opdatere maskinversionen. Hvis du er interesseret i at opsætte et mere komplekst miljø, kan du se en vejledning på Windows 11 som vært for et testlaboratorium.
Hvis afkrydsningsfeltet Windows Sandbox ikke vises, når du forsøger at aktivere funktionen, er det meget sandsynligt, at systemet har fastslået, at Dit udstyr opfylder ikke et eller flere af kraveneI så fald skal du kontrollere både den installerede Windows-version og BIOS-indstillingerne og den tilgængelige hardware.
Sådan aktiverer og starter du Windows Sandbox trin for trin
Når du har bekræftet, at din udgave og hardware opfylder kravene, er det første skridt at aktivere virtualiseringsindstillinger i BIOS eller UEFI. Du skal normalt søge efter indstillinger som Intel VT-x, AMD-V eller lignende og aktivere dem. Dette er et afgørende trin, for uden det kan Windows ikke bruge Hyper-V eller container- og sandkassefunktionerne.
Når virtualiseringen er fuldført, skal du følge disse trin:
- Åbn Windows.
- Gå til Kontrolpanel.
- Åbn mappen Programmer.
- Adgang til programmer og funktioner.
- Vælg Slå Windows-funktioner til eller fra.
Der finder du en liste over valgfrie komponenter; marker feltet Windows Sandbox, og accepter. Systemet downloader og konfigurerer det nødvendige, og beder dig derefter om at genstarte.
Hvis du foretrækker det, kan du aktivere funktionen fra PowerShell køres som administratorDette gøres med en kommando, der aktiverer Containers-DisposableClientVM-funktionen, som administrerer dette midlertidige skrivebordsmiljø. Denne metode er især praktisk, hvis du automatiserer implementering eller arbejder med konfigurationsscripts til flere maskiner.
Efter genstart skal du blot åbne Start-menuen og søg efter “Windows Sandbox” For at starte værktøjet for første gang, vil du se et vindue med et minimalistisk Windows-skrivebord: derfra kan du kopiere filer, installere programmer og køre tests, velvidende at når du lukker det, vil hele miljøet forsvinde.
For avancerede brugere er der mulighed for opret .wsb-konfigurationsfiler Disse funktioner giver dig mulighed for at tilpasse sandkassens funktionsmåde: aktivere eller deaktivere netværket, knytte værtsmapper til skrivebeskyttet eller læse/skrive-tilstand, køre scripts ved opstart og meget mere. Med denne konfiguration kan du designe yderst raffinerede miljøer, der er skræddersyet til hver enkelt brugsscenario, for eksempel en sandkasse til malwareanalyse uden en internetforbindelse og med en skrivebeskyttet eksempelmappe.
Prøv avancerede WSB-funktioner med Windows Insider-programmet
Hvis du vil holde dig opdateret med de seneste forbedringer, som Microsoft introducerer til sandboxing, kan du tilmelde dig Windows Insider-programVed at gøre det får du adgang til forhåndsvisninger af Windows-builds, der ofte indeholder ændringer og nye WSB-indstillinger, før de frigives til offentligheden.
Inden for dette program kan du vælge forskellige opdater kanaler i Windows-indstillinger.
- Udviklingskanal. Den leverer de nyeste funktioner, på bekostning af reduceret stabilitet.
- BetakanalMere afbalanceret. Det er normalt den bedste mulighed for avancerede brugere, der ønsker at prøve nye ting uden for mange overraskelser.
- Forhåndsvisning af kanal. Den fokuserer på Vigtige rettelser og funktioner i den næste stabile versionlige før den endelige udgivelse. Det er en god måde at bekræfte, at de nye sandboxing-funktioner opfører sig som forventet, uden at du udsætter dig selv for alt for radikale ændringer.
Husk dog, at brug af Insider-builds indebærer at acceptere en vis grad af risiko og ustabilitetDet anbefales at gøre dette på testudstyr eller i miljøer, hvor en systemfejl ikke udgør et alvorligt produktionsproblem.
Sandboxing på macOS, Linux og Windows ud over WSB
Selvom fokus her er på Windows Sandbox og manuel sandboxing, er det værd at se på, hvordan Isolering er implementeret i andre systemerfordi mange idéer er anvendelige, når du overvejer at designe din egen sikkerheds- og teststrategi.
På macOS er der for eksempel flere muligheder: App Sandbox (rettet mod apps fra Mac App Store), containere, virtuelle maskiner og et sandbox-profileringssystem kaldet Sikkerhedsseletilgængelig via sandbox-exec. Selvom Seatbelt blev erklæret forældet for år tilbage, bruges det stadig af kritiske tredjepartsapplikationer som Chrome, netop på grund af den granularitet, hvormed det tillader at definere tilladelser.
Med sikkerhedssele kan du dynamisk generere en politikprofil, der begrænser opkald til systemet og læser/skriver til bestemte stier. Typisk opbygger værktøjet eller kodeagenten denne profil i realtid baseret på brugerens konfiguration og regler, der minder om en .ignore-kommando, og blokerer meget specifikt, hvad der kan og ikke kan tilgås.
I Linux tilbyder kernen kraftfulde primitiver som f.eks. seccomp og LandlockDisse funktioner gør det muligt at blokere farlige systemkald og anvende adgangsbegrænsninger på filsystemer. Mange sandkasseløsninger kombinerer disse funktioner med et overlay-filsystem for at præsentere processen med en filtreret visning af disken, hvor "ignorerede" filer erstattes med beskyttede kopier, som den isolerede proces ikke kan læse eller ændre.
I Windows-verdenen, når du har brug for at køre generelle udviklingsværktøjer med Linux-lignende isolation, er én strategi Brug WSL2 og start det i en Linux-sandkasse. (for eksempel med bobleplast) i stedet for at forsøge at genskabe alle primitiverne oven på selve det native Windows, som historisk set har været mere orienteret mod applikationsisolering end fleksible containere til udvikling.
Kodeagenter og sandboxing: færre afbrydelser og mere sikkerhed
Moderne kodeagenter drager stor fordel af sandboxing. Uden det skal alle bash-kommandoer, de ønsker at køre, sandboxes. din manuelle godkendelseDette fører til en strøm af tilladelsesanmodninger og risiko for træthed (man ender med at acceptere næsten uden at se sig om).
Ved at placere disse agenter i et veldefineret, isoleret miljø kan de få lov til at arbejde med langt mere autonomi forudsat at de ikke forsøger at bevæge sig uden for de etablerede grænser. Kun når de har brug for noget uden for sandkassen, udløses en tilladelsesanmodning.
I praksis betyder det, at betjentene stopper omkring en 40% færre gange Dette skyldes, at når alt kræver godkendelse én efter én, sparer det tid og reducerer afbrydelser. For at modellen kan vide, hvordan den skal opføre sig, skal sandkassebegrænsningerne være klart defineret i shell-værktøjet.
Derudover forfiner mange implementeringer oplevelsen ved at vise en ... i terminalværktøjets resultater. Eksplicit forklaring af, hvilken begrænsning der forårsagede fejlenOg i nogle tilfælde et forslag om at eskalere situationen. På denne måde lærer agenten at beslutte, hvornår de kan fortsætte med at forsøge igen på egen hånd, og hvornår de skal anmode om en eskalering.
Alle disse mekanismer er afhængige af operativsystemprimitiver: Seatbelt i macOS, bubblewrap i Linux og WSL2, eller kombinationer af seccomp, navnerum og netværksproxyer. Resultatet er et miljø, hvor angrebsfladen mod prompte injektioner, ondsindede afhængigheder eller kompromitterede scripts er reduceret, da selvom agenten begår en fejl, Deres handlinger er begrænset til sandkassen.
Sandboxie Plus: Granulær applikationsisolering i Windows
Ud over Microsofts indbyggede sandkasse findes der en velkendt løsning i Windows kaldet Sandboxie PlusDette er en videreudvikling af den klassiske Sandboxie, som skaber et isoleret operativsystemmiljø til at køre og installere programmer uden permanent at ændre det lokale system. I modsætning til WSB er det ikke en komplet miniinstallation af Windows, men snarere en virtualiseringslaget på proces- og filsystemniveau.
Sandboxie blev født tilbage i 2004 som et værktøj til vedhæft Internet Explorer og minimere virkningen af deres sårbarheder. Med tiden blev det udvidet til andre browsere og enhver upålidelig applikation. I dag, under GPLv3-licensen, deler både Classic- og Plus-versionen et sikkerhedsfundament. Forskellen er, at sidstnævnte har en Moderne brugerflade baseret på Qt og en række ekstraudstyr, der gør den mere komfortabel og kraftfuld.
Blandt de mest interessante funktioner i Sandboxie Plus er snapshot-managerDette giver os mulighed for at tage et billede af enhver "sandkasse" og gendanne den senere, en vedligeholdelsestilstand til at installere eller afinstallere tjenesten og driveren efter behov, og en bærbar tilstand, der udtrækker alle filerne til en mappe, så vi kan tage dem med overalt uden traditionel installation.
Den tilbyder også yderligere grænseflademuligheder til bloker adgang til bestemte Windows-komponenterFor eksempel udklipsholderen eller udskriftskøen. Og også mere finjustering for at begrænse internetadgang, kontrollere, hvad der kan startes fra Start > Kør, og en global genvejstast til at afslutte alle processer i en isoleret boks i tilfælde af en nødsituation.
Derudover indeholder det en sandkasse-firewall baseret på Windows Filter Platform (WFP)Dette gør det muligt at behandle hver enhed, som om den havde sine egne netværksregler. Alt dette understøttes af foruddefinerede begrænsningsskabeloner, så selv mindre erfarne brugere har et rimeligt sikkert miljø fra starten med mulighed for at justere og styrke disse begrænsninger efter behov.
Kom godt i gang med Sandboxie Plus
Når du installerer Sandboxie Plus, opretter programmet en standard isolationsmiljø kaldet "DefaultBox"Fra kontekstmenuen kan du få adgang til sandkasseindstillingerne og ændre dens funktionsmåde. For eksempel kan du bestemme, hvilke stier den kan skrive til, hvilke applikationer der automatisk startes i den, hvilke netværksrestriktioner der skal anvendes osv.
Det virkelig interessante er dog at skabe sin egen separate miljøer til forskellige anvendelsesscenarierFra Sandkasse-menuen kan du vælge "Opret ny Sandkasse". Giv den derefter et beskrivende navn, og vælg til sidst en startkonfiguration, f.eks. "Hærdet", for at øge beskyttelsen og acceptere.
Det er så simpelt at køre en applikation i en sandkasse Højreklik på boksenPlacer markøren på "Kør" og vælg "Kør et program". Du kan manuelt indtaste stien til den eksekverbare fil eller bruge knappen Gennemse til at finde den. Når du har valgt og bekræftet, starter programmet i det isolerede miljø og arver alle de definerede begrænsninger.
En anden bekvem måde at bruge den på er at ty til Sandboxie Plus integreret startmenuFra den samme "Kør"-menu kan du vælge "Kør fra Start-menuen" og vælge programmer installeret på dit system, som du vil køre under beskyttelse af sandkassen, uden at skulle søge manuelt efter deres eksekverbare fil.
Kort sagt, manuel sandboxing uden yderligere software og ved hjælp af værktøjer integreret i systemet, forstærket når det er nødvendigt med løsninger som Sandboxie Plus eller velkonfigurerede Linux/macOS-miljøer, giver dig mulighed for at have meget klare lag af forsvar mod tvivlsom software, menneskelige fejl og i stigende grad automatiserede kodeagenterAt udnytte disse isolerede miljøer til at gennemse, teste, fejlfinde og køre følsomme programmer er en praktisk måde at reducere risici på uden at ofre eksperimentering eller komfortabel arbejdskomfort.
