Limitează ce poate afecta activitatea neîncrezătoare sau mai puțin încrezătoare în afara graniței. Sandbox-urile protejează browsere și aplicații, izolează teste și susțin observarea controlată a fișierelor sau comportamentelor suspecte.
Implementările folosesc mecanisme și ipoteze de încredere diferite, inclusiv restricții de proces ale sistemului de operare, politici de aplicație, containere, mașini virtuale, emulare sau combinații de controale. Întrebarea semnificativă nu este dacă ceva este „într-un sandbox”, ci ce graniță este impusă, de către ce componente de încredere și împotriva căror amenințări.
Puncte esențiale
Proiectarea politiciiAcordați doar capabilitățile necesare, constrângeți comunicarea și persistența, separați brokerii privilegiați de sarcinile restricționate și protejați interfețele de administrare și ieșirile colectate.
Utilizare în analizăSandbox-urile de malware instrumentează un mediu controlat pentru a înregistra comportament; sunt o utilizare a sandboxing-ului, nu definiția fiecărui sandbox.
AsigurareTestați căile de evadare, interfețele expuse, excepțiile de politică, limitele de resurse, procedurile de resetare, monitorizarea și dependențele din gazdă sau infrastructura înconjurătoare.
Limitare importantăUn sandbox reduce impactul potențial, dar nu dovedește că codul este sigur. Vulnerabilitățile, excepțiile nesigure, permisiunile excesive, resursele partajate, compromiterea gazdei sau evaziunea pot înfrânge izolarea sau ascunde comportamentul, așa că apărarea în profunzime rămâne necesară.