サンドボックス化 とは？

Sandboxは砂場という意味で、決めた範囲でプログラムを動かすイメージだよ。実行環境を分け、利用できる権限や資源を制限する。何を許し、何を拒否するかが大切で、外へ一切影響しないという意味ではないんだ。

不審なファイルの動作を観察するために、隔離環境を使う場合があるよ。ただしファイルやネットワークを共有すれば、その共有先にも影響し得る。隔離されているという名前だけで安全と考えず、許可する通信やデータを確認するんだ。

Chromeでは、ページを描画するプロセスなどの権限を制限するよ。Site Isolationは異なるサイトのページを別のプロセスへ分ける追加の防御だね。タブとプロセスは単純な1対1ではなく、一つのタブ内でも別サイトのフレームを分けることがあるんだ。

分離の仕組みが違うよ。Dockerでは名前空間などでプロセスや資源を分ける。Windows Sandboxは仮想化で別のカーネルを動かす。どちらも共有フォルダや権限の設定が重要で、「仮想マシンなら必ず安全」とは言えないんだ。

制限されていたプログラムが境界を越えて、許されていない資源へアクセスできてしまうことだよ。OSや隔離機構の脆弱性などが原因になり得る。サンドボックスの外側も含めてソフトウェアを更新し、必要最小限の権限にすることが大切だね。

実装と設定によるよ。Windows Sandboxでは既定でネットワークとクリップボードの共有が有効で、設定で変えられる。隔離環境でも、外とつながる経路が何かを確かめよう。