Sandbox

Sandbox (anglicky pískoviště) je bezpečnostní mechanismus, který spustí program v odděleném prostoru s omezeným přístupem k souborům, síti a ostatním aplikacím. Pokud program udělá něco škodlivého, zasáhne jen své „pískoviště“, ne celý počítač či telefon.

Sandbox používáte denně, i když o něm nevíte. Každá karta moderního prohlížeče běží v izolovaném procesu, aplikace v mobilu mají vlastní oddělený prostor a ke kontaktům či fotkám se dostanou jen s vaším svolením. Kromě toho existují nástroje, ve kterých si můžete bezpečně vyzkoušet podezřelý program, a služby, které v sandboxu analyzují malware.

Jak sandbox funguje

Operační systém programu v sandboxu vymezí, co smí: které složky může číst a zapisovat, zda smí komunikovat po síti, spouštět další programy nebo měnit nastavení. Zápisy se často přesměrují do dočasného úložiště, takže po zavření sandboxu zmizí a skutečné soubory zůstanou nedotčené.

Sandbox se liší od virtuálního počítače. Virtuální počítač emuluje celý samostatný systém s vlastním operačním systémem, je náročnější, ale izoluje důkladněji. Sandbox je lehčí a rychlejší, sdílí však s hostitelem jádro systému, takže chyba v jádře může izolaci prolomit.

Sandboxie a Windows Sandbox

Sandboxie je program pro Windows, který spustí vybranou aplikaci, například prohlížeč nebo instalátor, v izolovaném prostoru. Všechny změny, které program udělá, se uloží do oddělené složky a lze je jedním kliknutím zahodit. Původně komerční nástroj se později stal bezplatným a otevřeným softwarem a dnes se vyvíjí jako Sandboxie Plus (s moderním rozhraním) a Sandboxie Classic.

Windows Sandbox je funkce přímo ve Windows 10 a 11 v edicích Pro, Enterprise a Education (v edici Home není). Po zapnutí v nastavení volitelných funkcí spustí čistou, dočasnou kopii Windows v okně. Cokoli v ní nainstalujete nebo otevřete, zmizí po zavření okna. Vyžaduje podporu virtualizace v procesoru a zapnutou virtualizaci v BIOS/UEFI.

K čemu sandbox využít a kde má hranice

Sandbox se hodí, když potřebujete otevřít přílohu, které úplně nevěříte, vyzkoušet program z méně známého zdroje nebo navštívit web, aniž by po něm zůstaly cookies a historie. Bezpečnostní firmy a správci sítí v sandboxech automaticky spouštějí podezřelé soubory a sledují, co dělají, aby odhalili nový malware. Online analytické služby fungují podobně – nenahrávejte do nich ale soukromé dokumenty, protože vzorky mohou vidět i jiní.

Sandbox není nepřekonatelný. Útočníci hledají chyby, které umožní z izolace uniknout (sandbox escape), a pokročilý malware umí poznat, že běží v analytickém prostředí, a chovat se nevinně. Sandbox navíc nechrání před tím, co do něj sami zadáte – heslo zadané na falešné stránce v sandboxu je stejně ukradené. Je to užitečná vrstva, ne náhrada aktualizací, firewallu a bezpečnostního programu (viz kategorie Antiviry).

Časté dotazy

Je Sandboxie zdarma?

Ano, Sandboxie Plus i Sandboxie Classic jsou open source a lze je používat bezplatně. Některé pokročilé funkce edice Plus jsou dostupné se sponzorským certifikátem. Instalátor stahujte jen z oficiální stránky projektu.

Jak zapnout Windows Sandbox?

Ve Windows 10 nebo 11 Pro otevřete „Zapnout nebo vypnout funkce systému Windows“, zaškrtněte Windows Sandbox a restartujte počítač. Pokud volba chybí nebo je šedá, máte edici Home nebo vypnutou virtualizaci v BIOS/UEFI.

Ochrání mě sandbox před každým malwarem?

Ne. Výrazně omezí škodu, kterou může program napáchat, chyby umožňující únik ze sandboxu ale existují a sandbox nechrání data, která do něj sami zadáte. U vysoce podezřelých souborů je bezpečnější je vůbec neotevírat.

Jaký je rozdíl mezi sandboxem a virtuálním počítačem?

Virtuální počítač běží jako zcela samostatný systém s vlastním jádrem, a proto izoluje důkladněji, potřebuje ale víc výkonu. Sandbox je lehčí, spouští se rychleji a omezuje jednotlivé programy, sdílí však část systému s hostitelem.