Sandbox (piaskownica) to odizolowane środowisko, w którym uruchamiasz podejrzany plik, program albo fragment kodu, żeby zobaczyć, co naprawdę robi — bez ryzyka, że narozrabia w prawdziwym systemie. Nazwa jest dosłowna: jak piaskownica dla dzieci, gdzie można sypać piaskiem do woli, a bałagan zostaje w środku. Cokolwiek złośliwego dzieje się w sandboksie, nie wycieka na Twój dysk, do sieci ani do innych procesów.
Izolacja może działać na różnych poziomach. Najmocniejsza to osobna maszyna wirtualna (VM), gdzie podejrzany program dostaje cały udawany system operacyjny. Lżejsze warianty to kontenery (np. Docker) albo mechanizmy systemowe, które ograniczają, do czego proces ma dostęp — do plików, sieci, wywołań systemowych. W systemie operacyjnym Twoja przeglądarka i aplikacje na telefonie też działają w sandboksach: jedna karta czy apka nie powinna czytać danych drugiej.
Do czego to służy? Głównie do analizy malware. Antywirusy i analitycy bezpieczeństwa odpalają podejrzane próbki w sandboksie i obserwują zachowanie: czy program próbuje szyfrować pliki, łączyć się z jakimś serwerem (C2), modyfikować rejestr albo kasować logi. To tzw. analiza dynamiczna — patrzysz, co kod robi, zamiast tylko czytać, jak wygląda.
Przykład z praktyki
Dostajesz mailem fakturę faktura.exe (samo rozszerzenie już krzyczy „nie otwieraj”). Zamiast klikać na swoim laptopie, wrzucasz ją do ANY.RUN albo Joe Sandbox — usług online, które uruchomią plik w izolowanej VM i pokażą Ci raport: jakie procesy odpalił, jakie domeny odpytał, jakie pliki zmienił. Lokalnie podobnie działa klasyczny Cuckoo Sandbox. Na Windowsie masz wbudowany Windows Sandbox (funkcja w Pro/Enterprise) — czysta, jednorazowa kopia systemu, która znika po zamknięciu okna. Na Linuksie szybką izolację pojedynczej aplikacji dostaniesz przez firejail firefox.
Na co uważać
Pierwszy mit: „sandbox = pełne bezpieczeństwo”. Nie do końca. Istnieją techniki ucieczki (sandbox escape), które wykorzystują luki w warstwie izolacji, oraz złośliwe oprogramowanie z wykrywaniem sandboksu — sprytny malware sprawdza, czy działa w VM (brak ruchu myszką, dziwne nazwy sterowników, za mało plików) i jeśli tak, udaje niewiniątko. Dlatego raport z piaskownicy bywa zbyt optymistyczny.
Drugi błąd: traktowanie sandboksu jako miejsca na wrażliwe dane lub łączenie go z firmową siecią „na chwilę”. Izolacja sieciowa to część zabawy — odetnij albo kontroluj ruch wychodzący.
Pojęcia powiązane: wirtualizacja i maszyny wirtualne (VM), konteneryzacja (Docker), analiza statyczna vs dynamiczna malware, seccomp i namespaces w Linuksie, honeypot, zasada najmniejszych uprawnień (least privilege).