沙箱、蜜罐原理浅析

一、沙箱（网络编程虚拟执行环境）

1.1 概述

Sandboxie(又叫沙箱、沙盘)即是一个虚拟系统程序，在计算机安全领域中是一种安全机制，为运行中的程序提供的隔离环境。 在网络安全中，沙箱指在隔离环境中，用以测试不受信任的、具破坏力的或无法判定程序意图的程序行为的工具。

• 虚拟系统程序：沙箱通常严格控制其中的程序所能访问的资源，比如，沙箱可以提供用后即回收的磁盘及内存空间。在沙箱中，网络访问、对真实系统的访问、对输入设备的读取通常被禁止或是严格限制。从这个角度来说，沙盒属于虚拟化的一种。
• 隔离环境：当前的有效沙箱基本都是在专用虚拟机上执行。这么做可以在与网络隔离的主机上用多种操作系统安全地测试恶意软件。简言之，沙箱就是供应用执行或文件打开的安全隔离环境。官方用一个很形象的比喻说明了沙箱的原理：你的电脑是一张纸，程序的运行与改动就是在纸上写字。而沙箱相当于放在纸上的一块玻璃，程序的运行与改动只能写在那块玻璃上，而纸还是干干净净的。
• 不受信任的、具破坏力的、无法判定程序意图的程序：因为现代恶意软件大多经过模糊处理以规避基于特征码的杀毒软件，所以基于内容（静态分析）的恶意代码检测技术就显得比较吃力了，基于行为分析（动态分析）的反恶意软件解决方案就变得越来越重要了，该方法是将不受信任的、具破坏力的、无法判定程序意图的程序在沙箱中运行，根据运行结