Песочница (sandbox): где подозрительный файл взрывают безопасно

Sandbox (песочница), или detonation-среда (среда «подрыва»), — это изолированная среда для анализа подозрительных файлов. Подозрительное вложение или скачанную программу запускают в герметичной виртуальной среде, наблюдают за её поведением и только потом решают, пускать ли её в реальную сеть компании.

Какую проблему решает

Классический антивирус ловит угрозу по «отпечатку» — сравнивает файл с базой известных вредоносов. Но новые и целевые атаки в эту базу ещё не попали: файл выглядит чистым, подпись не срабатывает. Особенно это касается вложений в письмах и документов с макросами — главного канала проникновения.

Песочница решает проблему иначе: ей неважно, знаком файл или нет. Она просто запускает его в безопасной среде и смотрит, что он делает. Вредонос выдаёт себя поведением, а не сигнатурой.

Как это работает

Подозрительный файл попадает в виртуальную машину, которая полностью имитирует обычный рабочий компьютер — с операционной системой, офисными программами, сетью. Внутри файл «детонируют»: открывают или запускают и фиксируют каждое действие.

Среда отслеживает поведенческие признаки угрозы:

• Попытки связаться с внешними серверами управления
• Изменение системных настроек и автозапуска
• Шифрование или массовое изменение файлов — типичный признак шифровальщика
• Загрузку дополнительных вредоносных компонентов
• Попытки скрыться или определить, что находятся в песочнице

По итогам формируется вердикт: безопасно или вредоносно. Если файл опасен, его блокируют, а признаки атаки (индикаторы компрометации) передают в остальные средства защиты, чтобы заблокировать угрозу на всех устройствах.

Где применяется

Чаще всего песочницу ставят на двух рубежах. Первый — почтовый шлюз: каждое вложение проверяется до того, как попадёт в почту сотрудника. Это особенно важно, потому что почта остаётся главным каналом фишинга — о защите сотрудников от него мы пишем в статье фишинг: как защитить сотрудников. Второй рубеж — конечные устройства: если на компьютер попал неизвестный файл, защитное ПО отправляет его на анализ в песочницу, прежде чем разрешить запуск.

Когда нужна компании

• Компания получает много внешней почты с вложениями и документами
• Есть риск целевых атак, которые обходят классический антивирус
• Нужна защита от шифровальщиков и неизвестных угроз
• Требуется автоматический анализ подозрительных файлов без участия человека

Что включает наша услуга

• Подбор и внедрение песочницы (с учётом доступных на дату проекта решений)
• Интеграция с почтовым шлюзом и защитой конечных устройств
• Настройка передачи индикаторов в остальные средства защиты
• Разбор вердиктов и реагирование из нашего центра мониторинга

Связанные термины

• Антиспам и почтовый шлюз — фильтрация вредоносной почты — рубеж, на котором песочница проверяет вложения
• EDR/XDR — защита и реагирование на конечных устройствах — отправляет неизвестные файлы на анализ в песочницу
• Ransomware — вирусы-шифровальщики и защита от них — одна из главных угроз, которую выявляет detonation-анализ