Sandbox
Isolierte Ausführungsumgebung
Sandbox
Eine Sandbox ist eine abgeschottete Umgebung, in der sich verdächtiger Code gefahrlos ausführen und beobachten lässt, ohne das produktive System zu gefährden. Sie ist ein zentrales Werkzeug der dynamischen Malware-Analyse: Statt eine Datei nur statisch zu prüfen, sieht man, was sie tatsächlich tut. Zugleich ist Sandboxing ein Schutzprinzip moderner Software.
Historie & Fakten. In der Analyse lässt eine Sandbox eine verdächtige Datei kontrolliert „detonieren“ und protokolliert ihr Verhalten — welche Dateien sie anlegt, welche Verbindungen sie aufbaut, welche Persistenz sie einrichtet. Als Schutzprinzip isolieren moderne Browser und Betriebssysteme Anwendungen voneinander, sodass eine kompromittierte Komponente nicht das gesamte System erreicht. Fortgeschrittene Schadsoftware versucht allerdings zu erkennen, ob sie in einer Sandbox läuft, und verhält sich dann unauffällig.
Ausblick & Empfehlung. Sandboxing ist wirksam, aber kein Allheilmittel: Ausweichtechniken und zeitverzögertes Verhalten können die Beobachtung umgehen. In der Praxis ergänzt die dynamische Analyse die statische und die verhaltensbasierte Erkennung am Endpunkt. Als Schutzprinzip gilt: Je konsequenter Anwendungen und Privilegien voneinander getrennt sind, desto kleiner der Schaden einer einzelnen Kompromittierung.