Sandbox

Was ist eine Sandbox in einfachen Worten

Eine Sandbox ist eine isolierte Umgebung, die für sicheres Testen, Experimente oder Entwicklung geschaffen wurde. Genau wie in einem Sandkasten für Kinder, in dem Kinder Burgen aus Sand bauen, ohne Angst zu haben, etwas zu zerstören, können Sie in einer IT-Sandbox verdächtige Dateien ausführen oder neuen Code testen, ohne das Risiko, das Hauptsystem zu schädigen.

Die Hauptregel einer Sandbox: Was in ihr passiert, bleibt in ihr. Wenn sich ein Programm als Virus erweist, ist es darin „eingeschlossen“ und kann Ihren Computer nicht infizieren oder Daten stehlen. Wenn ein Entwickler eine neue Funktion testet, wird ein Fehler die funktionierende Website oder Anwendung nicht zerstören.

Sandboxen werden in der Cybersicherheit zur Analyse von Schadsoftware, in der Entwicklung zum Testen von neuem Code, in der Bildung zum sicheren Studium von Systemen und in der täglichen Arbeit zur Ausführung ungeprüfter Anwendungen eingesetzt. Laut Gartner werden bis 2027 mehr als 70% der Organisationen Sandboxen als Teil ihrer Sicherheitsstrategie für Bedrohungsanalyse und Tests einsetzen. Lesen Sie über den Schutz vor Schadsoftware im Artikel Antivirensoftware.

Wie eine Sandbox funktioniert

Eine Sandbox verwendet mehrere Schlüsselmechanismen, um Isolierung und Sicherheit zu gewährleisten:

• Isolierung: Die Sandbox erstellt eine separate virtuelle Umgebung, die vom Betriebssystem und anderen Programmen isoliert ist. Die Isolierung kann auf Betriebssystemebene (Container), auf Hypervisor-Ebene (virtuelle Maschinen) oder auf Anwendungsebene (Sandboxen für einzelne Programme) erfolgen.
• Ressourcenbegrenzung: Ein Programm in einer Sandbox hat nur Zugriff auf die ihm zugewiesenen Ressourcen (Speicher, Prozessor, Festplatte) und kann nicht mit dem Hauptsystem interagieren, Systemdateien oder die Registrierung verändern.
• Überwachung: Alle Aktionen des Programms werden aufgezeichnet und analysiert: welche Dateien es zu öffnen oder zu verändern versuchte, welche Netzwerkverbindungen es herstellte, welche Systemaufrufe es ausführte. Dies ermöglicht es, das Verhalten von Schadsoftware zu verstehen.
• Bereinigung: Nach dem Schließen der Sandbox werden alle Änderungen gelöscht und die Umgebung kehrt in ihren ursprünglichen Zustand zurück. Dies garantiert, dass keine Spuren schädlicher Aktivität zurückbleiben.

Lesen Sie über Virtualisierung im Artikel Virtualisierung.

Wo Sandboxen verwendet werden

Sandboxen finden in verschiedenen Bereichen Anwendung, in denen sicheres Testen oder Isolierung erforderlich ist:

• Informationssicherheit: Ausführen verdächtiger Dateien und Prüfung ihres Verhaltens ohne Infektionsrisiko. Analyse von Schadsoftware (Viren, Verschlüsselungsprogramme, Trojaner), Erforschung von Angriffen und Entwicklung von Signaturen für Antivirenprogramme.
• Softwareentwicklung: Testen von neuem Code in einer isolierten Umgebung, um die Produktionsversion (den Live-Server) nicht zu beschädigen. Prüfung der Kompatibilität mit verschiedenen Betriebssystemversionen, Testen von Updates.
• Bildung und Experimente: Studenten und Spezialisten können Systeme sicher studieren, ohne Angst vor Fehlern oder Schäden an wichtigen Daten. Durchführung von Penetrationstests.
• Ausführung ungeprüfter Anwendungen: Ausführen von Programmen aus unzuverlässigen Quellen (zum Beispiel von Torrents heruntergeladen oder per E-Mail erhalten) in einer sicheren Umgebung.
• Testen im Browser: Isolierte Tabs zum Schutz vor bösartigen Websites (zum Beispiel eine isolierte Umgebung für die Ausführung von JavaScript).

Beliebte Sandbox-Lösungen

Es gibt viele Werkzeuge zum Erstellen von Sandboxen, von einfachen Dienstprogrammen bis zu komplexen Unternehmensplattformen:

• Sandboxie: Eine beliebte Lösung für Windows, mit der Programme isoliert vom Hauptsystem ausgeführt werden können. Geeignet für den täglichen Gebrauch.
• Windows Sandbox: Eine integrierte Lösung in Windows 10/11 (Pro und Enterprise) zum schnellen Erstellen einer isolierten Umgebung. Leichtgewichtig und einfach zu bedienen.
• Cuckoo Sandbox: Ein Werkzeug zur automatisierten Analyse von Schadsoftware. Wird in Unternehmens-SOCs zur Automatisierung der Bedrohungsanalyse eingesetzt.
• VirtualBox / VMware: Ermöglichen das Erstellen vollwertiger Sandbox-VMs mit installiertem Betriebssystem. Bieten volle Kontrolle über die Umgebung.
• Firejail: Eine Linux-Lösung für isoliertes Ausführen von Anwendungen mithilfe von Kernel-Isolierungsmechanismen.

Lesen Sie über virtuelle Maschinen im Artikel Virtuelle Maschine.

Risiken bei der Arbeit mit einer Sandbox

Trotz des hohen Sicherheitsniveaus sind Sandboxen nicht absolut undurchdringlich. Es gibt Risiken, die es zu berücksichtigen gilt:

• Sandbox-Umgehung (Evasion): Einige komplexe Viren können erkennen, dass sie in einer Sandbox ausgeführt werden (zum Beispiel anhand bestimmter Prozesse, der Speichergröße oder der Betriebszeit) und zeigen keine schädliche Aktivität, um nicht erkannt zu werden. Solche Viren können sich erst beim Start auf einem echten System aktivieren.
• Unzureichende Isolierung: Wenn die Sandbox falsch konfiguriert ist oder Schwachstellen aufweist, kann ein bösartiges Programm „ausbrechen“ und das Hauptsystem infizieren. Beispielsweise sind Schwachstellen in Hypervisoren bekannt, die einen Ausbruch aus einer virtuellen Maschine ermöglichen.
• Leistung: Die Ausführung in einer Sandbox kann aufgrund des Aufwands für Isolierung und Überwachung langsamer sein als in einer normalen Umgebung. Für ressourcenintensive Anwendungen kann dies ein Problem darstellen.

Um Risiken zu minimieren, wird empfohlen, bewährte Lösungen zu verwenden, die Sandbox-Software regelmäßig zu aktualisieren, mehrere Isolierungsschichten zu nutzen (zum Beispiel eine virtuelle Maschine innerhalb eines physischen Hosts) und Sandboxen mit anderen Schutzmitteln wie EDR und SIEM zu kombinieren.