Sandbox
Sandbox (piaskownica) to środowisko, w którym proces działa z celowo obciętymi uprawnieniami: ograniczony dostęp do plików, urządzeń, sieci, innych procesów. Idea jest prosta. Jeśli kod okaże się szkodliwy albo po prostu zbugowany, uszkodzenia mają zostać w klatce, a nie w całym systemie.
Na blackweb.pl sandbox to narzędzie analizy i obrony warstwowej, nie magiczna bańka. Escape z piaskownicy zdarza się w historii exploitów przeglądarek i hypervisorów. Dlatego „odpalę w sandboxie” to decyzja ryzyka, nie absolucja.
Gdzie spotykasz sandbox na co dzień
Przeglądarki trzymają karty i procesy renderujące w osobnych przestrzeniach. Kompromis jednej karty nie powinien automatycznie oznaczać pełnego przejęcia profilu, choć łańcuch exploitów bywa dłuższy. Systemy mobilne izolują aplikacje: jedna apka nie czyta dowolnie danych drugiej bez zgody systemu. Pakiety flatpak, kontenery, maszyny wirtualne: różne poziomy tej samej idei izolacji.
Laboratoria malware używają sandboxów (i pełnych VM), żeby obserwować zachowanie próbki: jakie pliki tworzy, dokąd łączy, czy zrzuca kolejne stage’e. To praca analityczna. Nie jest poradnikiem „jak obejść AV”.
Co sandbox widzi, a czego nie obiecuje
Dobra piaskownica limituje syscall’e, montuje ograniczone filesystemy, filtruje urządzenia. Zła albo źle skonfigurowana udaje izolację: współdzielony schowek, zamontowany katalog domowy, pełny dostęp do GPU i sieci bez reguł. Wtedy „sandbox” to etykieta, nie kontrola.
Sandbox nie zastępuje air-gap. Nie chroni przed użytkownikiem, który sam eksportuje wynik analizy na produkcyjny laptop. Nie czyści metadanych zanim wrzucisz zrzut do chmury. Nie zatrzymuje socjotechniki: kliknięcie „zezwól na dostęp do kamery” jest poza klatką uprawnień procesu.
Sandbox a threat model
Inaczej izolujesz podejrzany załącznik na stacji dziennikarza, inaczej CI budujący nieznany kod z internetu, inaczej analizę infostealera. Budżet przeciwnika ma znaczenie. Skrypt kid z publicznym RAT i aktor z zero-day na hypervisor to różne historie. Opisuj założenia, zanim uwierzysz w marketing „military-grade sandbox”.
Dla opsec ważne jest też: gdzie lądują artefakty po analizie. Logi, zrzuty pamięci, har capture. Same w sobie są materiałem wrażliwym. Piaskownica chroni host przed próbką; nie chroni Ciebie przed własnym bałaganem w katalogu Downloads.
Typowe nieporozumienia
„Sandbox = bezpieczne uruchamianie wszystkiego z internetu.” Nie. To ograniczenie szkód przy znanym ryzyku. „Incognito to sandbox.” Nie. Tryb prywatny ogranicza lokalne ślady w profilu, nie izoluje procesu od systemu. „Kontener Dockera jest sandboxem bezpieczeństwa.” Kontenery dzielą jądro; to wygoda deploymentu, nie twierdza. Do twardej izolacji bliżej VM z jasnymi regułami sieci.
Wniosek na blackweb.pl: sandbox zawęża blast radius. Działa, gdy reguły są świadome, wyjścia kontrolowane, a wynik analizy nie wraca ścieżką, którą właśnie testowałeś jako zagrożenie. Reszta to słowo na slajdzie.