Bac à sable (sandbox)

Qu'est-ce qu'un bac à sable en termes simples

Un bac à sable (sandbox) est un environnement isolé créé pour des tests, des expériences ou du développement en toute sécurité. Comme dans un bac à sable pour enfants, où les enfants construisent des châteaux de sable sans craindre de rien casser, dans un bac à sable informatique vous pouvez exécuter des fichiers suspects ou tester du nouveau code sans risque d'endommager le système principal.

La règle principale d'un bac à sable : tout ce qui s'y passe y reste. Si un programme s'avère être un virus, il est « enfermé » à l'intérieur et ne peut ni infecter votre ordinateur ni voler des données. Si un développeur teste une nouvelle fonction, une erreur ne cassera pas le site ou l'application en production.

Les bacs à sable sont largement utilisés en cybersécurité pour analyser les logiciels malveillants, en développement pour tester du nouveau code, en formation pour étudier les systèmes en toute sécurité et au quotidien pour exécuter des applications non vérifiées. Selon Gartner, d'ici 2027, plus de 70 % des organisations utiliseront des bacs à sable dans leur stratégie de sécurité pour l'analyse des menaces et les tests. En savoir plus sur la protection contre les logiciels malveillants dans l'article Logiciel antivirus.

Comment fonctionne un bac à sable

Un bac à sable utilise plusieurs mécanismes clés pour assurer l'isolation et la sécurité :

• Isolation : le bac à sable crée un environnement virtuel séparé, isolé du système d'exploitation et des autres programmes. L'isolation peut se faire au niveau de l'OS (conteneurs), au niveau de l'hyperviseur (machines virtuelles) ou au niveau applicatif (bacs à sable pour des programmes individuels).
• Limitation des ressources : un programme dans un bac à sable n'a accès qu'aux ressources qui lui sont allouées (mémoire, processeur, disque) et ne peut pas interagir avec le système principal, modifier des fichiers système ou le registre.
• Surveillance : toutes les actions du programme sont enregistrées et analysées : quels fichiers il a tenté d'ouvrir ou de modifier, quelles connexions réseau il a établies, quels appels système il a exécutés. Cela permet de comprendre le comportement d'un logiciel malveillant.
• Nettoyage : après la fermeture du bac à sable, toutes les modifications sont supprimées et l'environnement revient à son état initial. Cela garantit qu'aucune trace d'activité malveillante ne subsiste.

En savoir plus sur la virtualisation dans l'article Virtualisation.

Où les bacs à sable sont utilisés

Les bacs à sable trouvent leur application dans divers domaines où des tests sécurisés ou une isolation sont nécessaires :

• Sécurité de l'information : exécution de fichiers suspects et analyse de leur comportement sans risque d'infection. Analyse de logiciels malveillants (virus, rançongiciels, chevaux de Troie), étude d'attaques et développement de signatures pour les antivirus.
• Développement logiciel : test du nouveau code dans un environnement isolé afin de ne pas casser la version de production (le serveur en ligne). Vérification de la compatibilité avec différentes versions d'OS, test des mises à jour.
• Formation et expérimentations : étudiants et spécialistes peuvent étudier les systèmes en toute sécurité sans crainte d'erreurs ou de dommages aux données importantes. Réalisation de tests d'intrusion.
• Exécution d'applications non vérifiées : exécution de programmes provenant de sources peu fiables (par exemple, téléchargés depuis des torrents ou reçus par e-mail) dans un environnement sécurisé.
• Tests dans les navigateurs : onglets isolés pour se protéger des sites malveillants (par exemple, un environnement isolé pour l'exécution de JavaScript).

Solutions de bac à sable populaires

Il existe de nombreux outils pour créer des bacs à sable, des utilitaires simples aux plateformes corporatives complexes :

• Sandboxie : solution populaire sous Windows qui permet d'exécuter des programmes en isolation du système principal. Convient à un usage quotidien.
• Windows Sandbox : solution intégrée à Windows 10/11 (Pro et Enterprise) pour créer rapidement un environnement isolé. Légère et facile à utiliser.
• Cuckoo Sandbox : outil d'analyse automatisée des logiciels malveillants. Utilisé dans les SOC corporatifs pour automatiser l'analyse des menaces.
• VirtualBox / VMware : permettent de créer des machines virtuelles de bac à sable complètes avec un OS installé. Offrent un contrôle total sur l'environnement.
• Firejail : solution Linux pour lancer des applications en isolation grâce aux mécanismes d'isolation du noyau.

En savoir plus sur les machines virtuelles dans l'article Machine virtuelle.

Risques liés au travail avec un bac à sable

Malgré un niveau élevé de sécurité, les bacs à sable ne sont pas totalement impénétrables. Il existe des risques importants à prendre en compte :

• Évasion du bac à sable : certains virus sophistiqués peuvent détecter qu'ils s'exécutent dans un bac à sable (par exemple, par la présence de processus spécifiques, la taille de la mémoire ou le temps de fonctionnement) et ne pas montrer d'activité malveillante pour éviter d'être détectés. De tels virus peuvent ne s'activer que sur un système réel.
• Isolation insuffisante : si le bac à sable est mal configuré ou présente des vulnérabilités, un programme malveillant peut « s'échapper » et infecter le système principal. Par exemple, des vulnérabilités d'hyperviseurs permettant de sortir d'une machine virtuelle sont connues.
• Performances : l'exécution dans un bac à sable peut être plus lente que dans un environnement normal en raison de la surcharge liée à l'isolation et à la surveillance. Pour les applications gourmandes en ressources, cela peut poser problème.

Pour minimiser les risques, il est recommandé d'utiliser des solutions éprouvées, de mettre régulièrement à jour les logiciels du bac à sable, d'utiliser plusieurs couches d'isolation (par exemple, une machine virtuelle à l'intérieur d'un hôte physique) et de combiner les bacs à sable avec d'autres moyens de protection tels que EDR et SIEM.