encyklopedia.space

Microsoft Sandbox

Microsoft Sandbox – rozwiązanie wirtualizacji i izolacji aplikacji opracowane przez firmę Microsoft i wprowadzone w systemie operacyjnym Windows 10 (wersja 1903) oraz kontynuowane w Windows 11. Umożliwia uruchamianie wybranych programów w odizolowanym środowisku, które nie ma bezpośredniego dostępu do systemu plików, rejestru ani innych zasobów systemu głównego, co zwiększa bezpieczeństwo komputerowe i chroni przed złośliwym oprogramowaniem.

Historia

Idea izolacji aplikacji pojawiła się w twórczości Microsoft już w latach 2000‑tych, najpierw w formie technologii User‑Mode Linux i AppContainer. Pierwsza publiczna wersja sandboxu została udostępniona jako część aktualizacji Windows 10 w maju 2019 roku (wersja 1903, kodowa May 2019 Update). Od tego czasu funkcjonalność była rozbudowywana i zintegrowana z platformą Windows Subsystem for Linux (WSL) oraz z technologią Hyper‑V.

Architektura

Microsoft Sandbox opiera się na lekkiej wirtualizacji opartej na Hyper‑V, ale nie wymaga osobnego menedżera maszyn wirtualnych. Główne elementy architektury:

  • Warstwa izolacji – oparta na Virtualization‑Based Security (VBS), tworzy oddzielny proces z własnym jądrem hypervisora.
  • System plików – wirtualny dysk w formacie .vhdx, tworzony z szablonu systemu Windows, do którego dostęp mają jedynie aplikacje uruchomione w sandboxie.
  • Rejestr – wirtualny klucz rejestru, niezależny od rejestru systemu gospodarza.
  • Sieć – domyślnie używa translacji adresów NAT, co uniemożliwia bezpośredni dostęp do sieci lokalnej.

Funkcje

Microsoft Sandbox oferuje szereg funkcji zwiększających wygodę i bezpieczeństwo:

  • Automatyczne przywracanie czystego stanu po zamknięciu – po wyjściu z sandboxu wszystkie zmiany są tracone.
  • Integracja z Eksploratorem Windows – możliwość przeciągania plików do i z sandboxu.
  • Wsparcie dla WSL2 – uruchamianie dystrybucji Linux w izolowanym środowisku Windows.
  • Obsługa polityk grupowych i Microsoft Endpoint Manager – umożliwiają zarządzanie sandboxem w środowiskach korporacyjnych.
  • Możliwość dostosowania szablonu (np. dodatkowe aplikacje, zmiany ustawień) poprzez edycję pliku konfiguracyjnego Configuration.xml.

Wymagania systemowe

Aby uruchomić Microsoft Sandbox, należy spełnić następujące warunki:

  • System operacyjny: Windows 10 wersja 1903 lub nowsza, Windows 11 (edycja Pro, Enterprise lub Education).
  • Procesor: 64‑bitowy, obsługujący Second Level Address Translation (SLAT).
  • Wirtualizacja w BIOS/UEFI: włączona (Intel VT‑x lub AMD‑V).
  • Co najmniej 4 GB pamięci RAM (zalecane 8 GB) i 1 GB wolnego miejsca na dysku dla wirtualnego obrazu.
  • Włączona funkcja Funkcje systemu Windows – Windows Sandbox.

Przykłady zastosowań

Microsoft Sandbox jest wykorzystywany w różnych scenariuszach:

Testowanie oprogramowania
Programiści i administratorzy systemów mogą uruchamiać nowe lub nieznane aplikacje bez ryzyka zainfekowania systemu.
Analiza złośliwego oprogramowania
Specjaliści ds. bezpieczeństwa używają sandboxu do bezpiecznego uruchamiania i obserwacji zachowań malware.
Edukacja i szkolenia
Instytucje edukacyjne oferują studentom środowisko do praktycznej nauki programowania i administracji systemami.
Przeglądanie niebezpiecznych stron internetowych
Użytkownicy przeglądają podejrzane witryny w sandboxie, minimalizując ryzyko wycieku danych.

Porównanie z innymi technologiami

Technologia Poziom izolacji Wymagania sprzętowe Typowe zastosowanie
VirtualBox Pełna wirtualizacja (VM) Większe zużycie pamięci i CPU Uruchamianie pełnych systemów operacyjnych
Docker Kontenery (izolacja na poziomie procesów) Minimalne, wymaga tylko systemu Linux/WSL2 Rozwój i wdrażanie aplikacji wieloskalowych
Microsoft Sandbox Lekka wirtualizacja (VBS + Hyper‑V) Średnie – wymaga wsparcia SLAT i włączonej wirtualizacji Testowanie i analiza aplikacji w systemie Windows
AppContainer Izolacja na poziomie aplikacji (UWP) Brak dodatkowych wymagań sprzętowych Uruchamianie aplikacji Store w izolacji

Ograniczenia

  • Brak wsparcia dla systemów 32‑bitowych – działa wyłącznie na architekturze 64‑bit.
  • Ograniczona możliwość modyfikacji systemu operacyjnego wewnątrz sandboxu – nie można instalować sterowników jądra.
  • Nieobsługiwane w wersjach Home systemu Windows.
  • Nie pozwala na zmianę konfiguracji wirtualizacji (np. liczby rdzeni CPU) bez edycji pliku Configuration.xml.

Przyszłość i rozwój

Microsoft regularnie aktualizuje sandbox, wprowadzając m.in. wsparcie dla DirectX 12, lepszą integrację z Microsoft 365 i możliwość uruchamiania Azure Stack HCI w środowisku testowym. W planach firmy znajduje się także integracja z usługą Endpoint Manager oraz rozszerzona automatyzacja przy użyciu PowerShell i WMI.

Linki wewnętrzne

Wiąże się z wieloma innymi zagadnieniami technologicznymi opisanymi w encyklopedii: