Sandbox
Sandbox
Sandbox（サンドボックス（隔離実行環境））とは
ひとことで
本番環境から切り離された安全な環境で、不審なファイルやプログラムを実行し、その挙動を観察・分析する仕組み。
たとえると
公園の「砂場」のように、中で何をしても外には影響しない囲われた場所です。危険かもしれない荷物も、頑丈な検査室の中で開ければ、周りに被害を出さずに中身を確かめられます。
現場ではこう使う
メールゲートウェイが、添付されたExcelファイルを自動でサンドボックスに送りました。サンドボックスの中でファイルを開くと、マクロが外部からプログラムをダウンロードし、自動起動の設定をしようとする動きが記録されました。ファイルは悪性と判定されて利用者に届く前に隔離され、記録された通信先はIoCとして登録されました。
試験のポイント
EXAM POINT「隔離された環境で実行して挙動を観察」「未知のマルウェアの動的解析」と出てきたらサンドボックスです。シグネチャで判定できない未知のマルウェアにも対応できる一方、仮想環境だと気づくと動作を止めるマルウェアもある点が問われます。開発で新しいコードを本番から切り離して試す環境もサンドボックスと呼ぶので、文脈で判断しましょう。
混同しやすい用語との違い
- Honeypot攻撃者をおびき寄せるためのおとり。サンドボックスは不審なファイルを安全に動かして調べる
- VirusTotal多数のエンジンによる判定結果や評判を照会するサービス。サンドボックスは実際に動かして挙動を観察する