Wenn Sie anfangen, mit unbekannter Software, seltsamen Skripten aus dem Chat oder Anhängen, denen Sie nicht vollständig vertrauen, herumzuexperimentieren, ist es ratsam, ein Isolierte Umgebung, in der nichts davon Ihr Windows beschädigen kann Es ist praktisch unerlässlich. Im Bereich der IT-Sicherheit nennt man dies Sandboxing. Es bedeutet, eine Art kontrollierte Umgebung zu schaffen, in der man Tests durchführen kann, ohne befürchten zu müssen, das System zum Absturz zu bringen oder sensible Daten preiszugeben.
Das Gute daran ist, dass man diesen Schutz in vielen Fällen so montieren kann, dass manuell und ohne Installation von Drittanbieterprogrammendie bereits von Windows angebotenen Funktionen nutzen (wie zum Beispiel die Windows SandboxOder sogar durch die Verwendung von Sandbox-Umgebungen, die auf Betriebssystemprimitiven in macOS, Linux oder WSL2 basieren. Und wenn Sie noch einen Schritt weiter gehen möchten, stehen Ihnen Tools wie Sandboxie Plus zur Verfügung, mit denen Sie genau steuern können, was jede Anwendung tun darf.
Was genau ist Sandboxing und warum könnte es für Sie von Interesse sein?
Vereinfacht ausgedrückt ist eine Sandbox ein Sicherheitsmechanismus, der die Ausführung von Programmen trennt So wird sichergestellt, dass selbst im Fehlerfall oder bei böswilliger Absicht der Schaden auf diese Umgebung beschränkt bleibt und weder das Hauptsystem noch Ihre persönlichen Daten erreicht. Diese Isolation kann CPU, Arbeitsspeicher, Festplatte, Netzwerk und sogar Eingabegeräte betreffen.
Eine der häufigsten Anwendungen des Sandkastens ist die Ausführung unzuverlässiger AnwendungenDazu gehören Installationsprogramme, die von dubiosen Websites heruntergeladen wurden, verdächtige E-Mail-Anhänge oder Binärdateien, die über Messenger empfangen wurden. Indem diese in einer isolierten Umgebung gehalten werden, wird ihr Zugriff auf Ressourcen wie Speicher, Netzwerk, Hostsystemprüfung oder Lesezugriff auf Eingabegeräte stark eingeschränkt. beschränkt oder direkt blockiertabhängig davon, wie Sie den Schutz konfigurieren.
Ein klassisches Beispiel für einen Sandkasten ist der vollständige virtuelle MaschinenDiese Emulatoren simulieren einen kompletten Computer und laden ein Gastbetriebssystem, das vollständig vom Hostsystem getrennt ist. Das Gastsystem läuft nicht nativ, sondern über den Emulator oder Hypervisor. Es kann nur über diese Zwischenschicht auf die physischen Ressourcen des Hostsystems zugreifen.
Virtuelle Maschinen sind jedoch nicht die einzige Art von Sandbox, die existiert. Moderne Browser wie Chrome, Chromium oder Edge Sie nutzen mehrere Ebenen der Prozessisolation, um zu verhindern, dass ein kompromittierter Tab das restliche System beeinträchtigt. Ebenso bieten einige moderne Entwicklungswerkzeuge eine eigene interne Sandbox für die Ausführung von Code-Agenten, Skripten und Terminalbefehlen mit stark eingeschränkten Berechtigungen.
Im Windows-Ökosystem gibt es neben virtuellen Maschinen auch andere Optionen wie beispielsweise Windows Sandbox und fortschrittliche Lösungen wie Sandboxie Plus. Lösungen, die eine separate Betriebsumgebung für Ihre Programme schaffen. Und wenn man sich andere Systeme ansieht, nutzen Projekte wie native Sandbox-Entwicklungsagenten Systemprimitive (Seatbelt unter macOS, seccomp oder Landlock unter Linux, Bubblewrap usw.), um diese Isolation zu verstärken.
Windows Sandbox (WSB): Die in Windows 10 und 11 integrierte Sandbox.
Microsoft hat in Windows 10 und Windows 11 eine Funktion namens „…“ integriert. Windows Sandbox Windows Sandbox (WSB) wurde entwickelt, um jedem Benutzer unkompliziert eine sofort einsatzbereite „Mini-VM“ bereitzustellen. Sie basiert auf Hypervisor-Virtualisierung (Hyper-V) und richtet eine leichte, temporäre und völlig separate Desktop-Umgebung des Hauptsystems.
In diesem abgeschlossenen Bereich können Sie Programme völlig unbesorgt installieren und ausführen. Alles, was dort geschieht, bleibt dort.Wenn Sie das Sandbox-Fenster schließen, werden die installierte Software, die erstellten Dateien und sogar der Systemstatus gelöscht, als ob sie nie existiert hätten. Jedes Mal, wenn Sie es starten, erhalten Sie eine Fehlermeldung. neue und saubere Instanz, ähnlich wie bei einer Neuinstallation von Windows.
Host-Anwendungen werden nicht automatisch mit der Sandbox geteilt. Wenn Sie etwas innerhalb der Sandbox benötigen, müssen Sie... Installieren Sie es explizit innerhalb der isolierten Umgebung.Oder Sie erstellen Ordnerabbildungen gemäß der Syntax von .wsb-Dateien, wobei Sie sogar Pfade im Nur-Lese-Modus markieren und das Netzwerk deaktivieren können, um eine zusätzliche Sicherheitsebene hinzuzufügen.
Aus technischer Sicht verhält sich WSB wie ein Wegwerf-VMSie ist jedoch deutlich ressourcenschonender als eine herkömmliche VM. Sie nutzt Dateien des Host-Betriebssystems, verwendet einen separaten, abgespeckten Kernel und optimiert den Speicherverbrauch und beschleunigt den Systemstart. Dadurch ist sie innerhalb weniger Sekunden einsatzbereit.
Hauptmerkmale der Windows Sandbox
Einer der größten Vorteile von WSB ist, dass es Teil von Professionelle Editionen von WindowsDaher benötigen Sie weder einen Hypervisor eines Drittanbieters noch eine vollständige Virtualisierungslösung, um eine ausreichend robuste Sandbox zu erhalten. Alles ist bereits im System vorhanden und kann über die optionalen Funktionen aktiviert werden.
Dieser abgeschiedene Raum ist komplett Einweg und makellosJeder Start entspricht dem Hochfahren einer frischen Windows-Installation. Beim Schließen des Fensters werden keine Daten gespeichert, was das Testen von Software erheblich vereinfacht und die Ansammlung von Programmresten oder ungewöhnlichen Konfigurationen im Laufe der Zeit verhindert.
In puncto Sicherheit basiert Windows Sandbox auf der Hardwarevirtualisierung zur Isolierung des KernelsEs nutzt Microsofts Hypervisor, um einen separaten Kernel auszuführen, der die Sandbox strikt vom Hauptsystem isoliert. Dadurch wird die Angriffsfläche erheblich reduziert, falls die zu testende ausführbare Datei Schadsoftware, Exploits oder unerwartetes Verhalten enthält.
In Bezug auf die Leistung ist WSB so konzipiert, dass schnell und effizientEs nutzt die virtuelle GPU, einen integrierten Kernel-Scheduler und intelligentes Speichermanagement, was zu kurzen Bootzeiten und einem geringeren Ressourcenverbrauch als bei einer vollständigen virtuellen Maschine mit eigenem unabhängigen Betriebssystem führt.
Es ist in Windows 10 Pro, Enterprise und Education sowie in Windows 11 Pro und Enterprise enthalten. Sie benötigen keine externen VHDs oder zusätzliche Lizenzen.Das System verwendet ein reduziertes Windows-Image von ca. 100 MB, um die Umgebung auszuführen, was die Wartung vereinfacht und zusätzliche Downloads reduziert.
Bearbeitungs-, Lizenzierungs- und Hardwareanforderungen für die Nutzung von WSB
Windows Sandbox ist nicht in allen Systemversionen verfügbar. Zur Aktivierung benötigen Sie ein kompatible Edition von WindowsWindows 10 Pro, Enterprise oder Education (einschließlich Pro Education/SE) sowie Windows 11 Pro und Enterprise werden unterstützt. Windows Home ist derzeit ausgeschlossen, da Microsoft für diese Version keinen offiziellen WSB-Support anbietet.
Hinsichtlich der Lizenzierung sind die Rechte zur Nutzung des abgetrennten Raums in der Windows-Lizenzen, die auf professionelle und schulische Umgebungen ausgerichtet sindDies umfasst Windows Pro und Pro Education/SE, Windows Enterprise E3 und E5 sowie die Bildungslizenzen A3 und A5. Ausführliche Informationen zur Lizenzierung finden Sie in der allgemeinen Windows-Lizenzdokumentation.
Aus Hardware-Sicht benötigt das System ein CPU mit Virtualisierungsfunktionen (bei AMD64- oder moderner ARM64-Architektur im Falle von Windows 11), mindestens 4 GB RAM (8 GB werden für zusätzliche Kapazität empfohlen), 1 GB freier Festplattenspeicher (idealerweise auf SSD) und mindestens zwei CPU-Kerne, wobei vier Kerne mit Hyper-Threading für eine reibungslosere Leistung wünschenswert sind.
Es ist unerlässlich, dass Virtualisierung ist im BIOS/UEFI aktiviert. der physischen Hardware. Befinden Sie sich in einer virtuellen Maschine, müssen Sie außerdem die verschachtelte Virtualisierung aktivieren und in manchen Fällen die VM aktualisieren, um diese Funktionalität hinzuzufügen. Verwenden Sie dazu PowerShell-Befehle, um die Virtualisierungserweiterungen bereitzustellen und die Maschinenversion zu aktualisieren. Wenn Sie eine komplexere Umgebung einrichten möchten, finden Sie eine Anleitung unter [Link einfügen]. Windows 11 als Testlabor-Host.
Wenn das Kontrollkästchen für die Windows-Sandbox beim Versuch, die Funktion zu aktivieren, nicht angezeigt wird, ist es sehr wahrscheinlich, dass das System festgestellt hat, dass Ihre Ausrüstung erfüllt eine oder mehrere der Anforderungen nicht.In diesem Fall müssen Sie sowohl die installierte Windows-Version als auch die BIOS-Einstellungen und die verfügbare Hardware überprüfen.
Schritt für Schritt zur Aktivierung und zum Start der Windows Sandbox
Sobald Sie bestätigt haben, dass Ihre Edition und Ihre Hardware die Anforderungen erfüllen, ist der erste Schritt folgender: Virtualisierungsoptionen aktivieren Im BIOS oder UEFI müssen Sie in der Regel nach Einstellungen wie Intel VT-x, AMD-V oder ähnlichen suchen und diese aktivieren. Dies ist ein entscheidender Schritt, da Windows sonst weder Hyper-V noch die Container- und Sandbox-Funktionen nutzen kann.
Nach Abschluss der Virtualisierung führen Sie folgende Schritte aus:
- Windows öffnen.
- Gehen Sie zur Systemsteuerung.
- Öffnen Sie den Ordner „Programme“.
- Zugriff auf Programme und Funktionen.
- Wählen Sie „Windows-Funktionen aktivieren oder deaktivieren“ aus.
Dort finden Sie eine Liste optionaler Komponenten; aktivieren Sie das Kontrollkästchen „Windows Sandbox“ und bestätigen Sie. Das System lädt die benötigten Komponenten herunter, konfiguriert sie und fordert Sie anschließend zum Neustart auf.
Falls Sie es vorziehen, können Sie die Funktion hier aktivieren: PowerShell als Administrator ausführenDies geschieht mit einem Befehl, der die Funktionalität „Containers-DisposableClientVM“ aktiviert und so diese temporäre Desktop-Umgebung verwaltet. Diese Methode ist besonders praktisch, wenn Sie die Bereitstellung automatisieren oder mit Konfigurationsskripten für mehrere Rechner arbeiten.
Nach dem Neustart öffnen Sie einfach das Startmenü und Suche nach „Windows Sandbox“ Beim ersten Start des Tools wird Ihnen ein Fenster mit einem minimalistischen Windows-Desktop angezeigt: Von dort aus können Sie Dateien kopieren, Programme installieren und Tests durchführen, wohl wissend, dass die gesamte Umgebung verschwindet, wenn Sie das Fenster schließen.
Für fortgeschrittene Benutzer besteht die Möglichkeit, .wsb-Konfigurationsdateien erstellen Diese Funktionen ermöglichen die Anpassung des Sandbox-Verhaltens: Aktivieren oder Deaktivieren des Netzwerks, Zuordnen von Hostordnern zum Lese- oder Schreibmodus, Ausführen von Skripten beim Start und vieles mehr. Mit dieser Konfiguration lassen sich hochpräzise Umgebungen für jeden Anwendungsfall erstellen, beispielsweise eine Sandbox für die Malware-Analyse ohne Internetverbindung und mit einem schreibgeschützten Beispielordner.
Testen Sie erweiterte WSB-Funktionen mit dem Windows Insider-Programm.
Wenn Sie über die neuesten Verbesserungen, die Microsoft für die Sandbox-Umgebung einführt, auf dem Laufenden bleiben möchten, können Sie der folgenden Gruppe beitreten: Windows Insider-ProgrammDadurch erhalten Sie Zugriff auf Vorabversionen von Windows, die oft Änderungen und neue WSB-Optionen enthalten, bevor sie der breiten Öffentlichkeit zugänglich gemacht werden.
Innerhalb dieses Programms können Sie verschiedene auswählen. Updatekanäle in den Windows-Einstellungen.
- Entwicklungskanal. Es bietet die neuesten Funktionen, allerdings auf Kosten der Stabilität.
- Beta-KanalAusgewogener. Es ist in der Regel die beste Option für fortgeschrittene Benutzer, die neue Dinge ausprobieren möchten, ohne zu viele Überraschungen zu erleben.
- Vorschaukanal. Es konzentriert sich auf Wichtige Fehlerbehebungen und Funktionen in der nächsten stabilen Versionkurz vor der endgültigen Veröffentlichung. Das ist eine gute Möglichkeit, zu überprüfen, ob die neuen Sandboxing-Funktionen wie erwartet funktionieren, ohne sich dabei allzu radikalen Änderungen auszusetzen.
Bedenken Sie jedoch, dass die Verwendung von Insider-Builds die Akzeptanz eines gewissen Maßes an … impliziert. Risiko und InstabilitätEs wird empfohlen, dies an Testgeräten oder in Umgebungen durchzuführen, in denen ein Systemausfall kein ernsthaftes Produktionsproblem darstellt.
Sandboxing auf macOS, Linux und Windows jenseits von WSB
Obwohl der Schwerpunkt hier auf Windows Sandbox und manuellem Sandboxing liegt, lohnt es sich, einen Blick darauf zu werfen, wie… Die Isolation wird in anderen Systemen implementiert.Denn viele Ideen sind anwendbar, wenn man über die Gestaltung einer eigenen Sicherheits- und Teststrategie nachdenkt.
Unter macOS gibt es beispielsweise mehrere Optionen: App Sandbox (für Apps aus dem Mac App Store), Container, virtuelle Maschinen und ein Sandbox-Profilierungssystem namens SicherheitsgurtZugänglich über sandbox-exec. Obwohl Seatbelt bereits vor Jahren als veraltet erklärt wurde, wird es von wichtigen Drittanbieteranwendungen wie Chrome immer noch verwendet, gerade wegen der Granularität, mit der es die Definition von Berechtigungen ermöglicht.
Mit Seatbelt können Sie dynamisch einen generieren Richtlinienprofil, das Aufrufe an das System einschränkt und liest/schreibt auf bestimmte Pfade. Normalerweise erstellt das Tool oder der Code-Agent dieses Profil in Echtzeit basierend auf der Benutzerkonfiguration und Regeln, ähnlich dem Befehl `.ignore`, und blockiert so sehr genau, worauf zugegriffen werden darf und worauf nicht.
Unter Linux bietet der Kernel leistungsstarke Grundfunktionen wie zum Beispiel seccomp und LandlockDiese Funktionen ermöglichen das Blockieren gefährlicher Systemaufrufe und das Einleiten von Zugriffsbeschränkungen auf Dateisysteme. Viele Sandbox-Lösungen kombinieren diese Möglichkeiten mit einem Overlay-Dateisystem, um dem Prozess eine gefilterte Ansicht der Festplatte zu präsentieren, wobei „ignorierte“ Dateien durch geschützte Kopien ersetzt werden, die der isolierte Prozess weder lesen noch verändern kann.
In der Windows-Welt gibt es eine Strategie, wenn man allgemeine Entwicklungswerkzeuge mit Linux-ähnlicher Isolation ausführen muss: Verwenden Sie WSL2 und starten Sie es in einer Linux-Sandbox. (zum Beispiel mit Luftpolsterfolie), anstatt zu versuchen, alle Grundelemente auf der Grundlage von nativem Windows selbst nachzubilden, das in der Vergangenheit eher auf Anwendungsisolation als auf flexible Container für die Entwicklung ausgerichtet war.
Code-Agenten und Sandboxing: Weniger Unterbrechungen und mehr Sicherheit
Moderne Code-Agenten profitieren enorm von Sandboxing. Ohne Sandboxing muss jeder Bash-Befehl, den sie ausführen möchten, in einer Sandbox ausgeführt werden. Ihre manuelle GenehmigungDies führt zu einer Flut von Genehmigungsanfragen und birgt die Gefahr der Ermüdung (man akzeptiert die Anfragen fast blind).
Indem man diese Agenten in einer klar definierten, isolierten Umgebung platziert, kann ihnen ermöglicht werden, mit deutlich mehr Autonomie arbeiten Vorausgesetzt, sie versuchen nicht, die festgelegten Grenzen zu überschreiten. Nur wenn sie etwas außerhalb der Sandbox benötigen, wird eine Berechtigungsanfrage ausgelöst.
In der Praxis bedeutet dies, dass die Beamten etwa eine Minute lang anhalten. 40 % weniger Male Denn wenn jeder Schritt einzeln genehmigt werden muss, spart das Zeit und reduziert Unterbrechungen. Damit das Modell sich korrekt verhält, müssen die Sandbox-Beschränkungen im Shell-Tool klar definiert sein.
Darüber hinaus verbessern viele Implementierungen die Benutzererfahrung, indem sie die Ergebnisse des Terminaltools anzeigen. Explizite Erklärung, welche Einschränkung das Versagen verursacht hatUnd in manchen Fällen wird auch die Möglichkeit einer Eskalation vorgeschlagen. So lernt der Agent, zu entscheiden, wann er selbstständig weitere Versuche unternehmen kann und wann er eine Eskalation anfordern sollte.
Alle diese Mechanismen basieren auf grundlegenden Betriebssystemfunktionen: Seatbelt in macOS, Bubblewrap in Linux und WSL2 oder Kombinationen aus Seccomp, Namensräumen und Netzwerkproxys. Das Ergebnis ist eine Umgebung, in der die Angriffsfläche für Prompt-Injections, schädliche Abhängigkeiten oder kompromittierte Skripte reduziert wird, da selbst bei einem Fehler des Agenten … Ihre Handlungen sind auf den Sandkasten beschränkt..
Sandboxie Plus: Granulare Anwendungsisolation in Windows
Neben der in Microsoft integrierten Sandbox gibt es in Windows eine bekannte Lösung namens Sandboxie plusDies ist eine Weiterentwicklung des klassischen Sandboxie, das eine isolierte Betriebsumgebung zum Ausführen und Installieren von Programmen erstellt, ohne das lokale System dauerhaft zu verändern. Im Gegensatz zu WSB handelt es sich nicht um eine vollständige Mini-Installation von Windows, sondern vielmehr um eine Virtualisierungsschicht auf Prozess- und Dateisystemebene.
Sandboxie wurde 2004 als Werkzeug für Internet Explorer einschließen und die Auswirkungen ihrer Sicherheitslücken zu minimieren. Im Laufe der Zeit wurde dies auf andere Browser und beliebige nicht vertrauenswürdige Anwendungen ausgeweitet. Heute, unter der GPLv3-Lizenz, teilen sich sowohl die klassische als auch die Plus-Version eine gemeinsame Sicherheitsgrundlage. Der Unterschied besteht darin, dass die Plus-Version über eine Moderne Benutzeroberfläche basierend auf Qt und eine Reihe von Extras, die es komfortabler und leistungsstärker machen.
Zu den interessantesten Funktionen von Sandboxie Plus gehört die Snapshot-ManagerDies ermöglicht es uns, ein Abbild einer beliebigen "Sandbox" zu erstellen und diese später wiederherzustellen, einen Wartungsmodus zum Installieren oder Deinstallieren des Dienstes und des Treibers bei Bedarf sowie einen portablen Modus, der alle Dateien in ein Verzeichnis extrahiert, sodass sie ohne herkömmliche Installation überallhin mitgenommen werden können.
Es bietet außerdem zusätzliche Schnittstellenoptionen für Zugriff auf bestimmte Windows-Komponenten blockierenBeispielsweise die Zwischenablage oder die Druckwarteschlange. Außerdem gibt es weitere Feineinstellungen, um den Internetzugang einzuschränken, zu steuern, was über Start > Ausführen gestartet werden kann, und eine globale Tastenkombination, um im Notfall alle Prozesse in einem isolierten Fenster zu beenden.
Darüber hinaus enthält es eine Sandbox-Firewall basierend auf der Windows-Filterplattform (WFP)Dadurch kann jedes Gerät so behandelt werden, als hätte es seine eigenen Netzwerkregeln. Vordefinierte Einschränkungsvorlagen unterstützen dies, sodass auch weniger erfahrene Benutzer von Anfang an eine angemessen sichere Umgebung vorfinden und diese Einschränkungen bei Bedarf anpassen und verstärken können.
Erste Schritte mit Sandboxie Plus
Bei der Installation von Sandboxie Plus erstellt das Programm eine Standarddatei. Isolationsumgebung namens „DefaultBox“Über das Kontextmenü können Sie auf die Sandbox-Optionen zugreifen und deren Verhalten anpassen. Sie können beispielsweise festlegen, in welche Pfade geschrieben werden darf, welche Anwendungen automatisch gestartet werden, welche Netzwerkbeschränkungen gelten sollen usw.
Wirklich interessant ist es jedoch, seine eigenen zu erstellen. separate Umgebungen für verschiedene AnwendungsfälleIm Menü „Sandbox“ können Sie „Neue Sandbox erstellen“ auswählen. Geben Sie ihr dann einen aussagekräftigen Namen und wählen Sie schließlich eine Anfangskonfiguration wie z. B. „Gehärtet“, um den Schutz zu erhöhen und zu akzeptieren.
Das Ausführen einer Anwendung innerhalb einer Sandbox ist ganz einfach wie Klicken Sie mit der rechten Maustaste auf das Kästchen.Setzen Sie den Cursor auf „Ausführen“ und wählen Sie „Programm ausführen“. Sie können den Pfad zur ausführbaren Datei manuell eingeben oder sie über die Schaltfläche „Durchsuchen“ suchen. Nach der Auswahl und Bestätigung wird das Programm in der isolierten Umgebung gestartet und übernimmt alle definierten Einschränkungen.
Eine weitere bequeme Anwendungsmöglichkeit besteht darin, auf Folgendes zurückzugreifen: Sandboxie Plus integriertes StartmenüÜber das gleiche „Ausführen“-Menü können Sie „Vom Startmenü ausführen“ auswählen und Anwendungen auswählen, die auf Ihrem System installiert sind und die Sie unter dem Schutz der Sandbox ausführen möchten, ohne manuell nach deren ausführbarer Datei suchen zu müssen.
Kurz gesagt, ermöglicht die manuelle Sandbox-Umgebung ohne zusätzliche Software und mithilfe von systemintegrierten Tools, die bei Bedarf durch Lösungen wie Sandboxie Plus oder gut konfigurierte Linux-/macOS-Umgebungen verstärkt wird, Folgendes: sehr klar definierte Verteidigungsebenen gegen fragwürdige Software, menschliches Versagen und zunehmend automatisierte Code-AgentenDie Nutzung dieser isolierten Umgebungen zum Durchsuchen, Testen, Debuggen und Ausführen sensibler Programme ist eine praktische Möglichkeit, Risiken zu reduzieren, ohne dabei auf Experimentierfreude oder komfortables Arbeiten verzichten zu müssen.
