Zandbakken uitgelegd hoe ze je al beschermen en Sandbox elk programma

Sandboxing is een belangrijke beveiligingstechniek die programma's isoleert en voorkomt dat kwaadwillende of slecht functionerende programma's de rest van uw computer beschadigen of rondsnuffelen. De software die je gebruikt, is al bezig met het sandboxen van de code die je elke dag uitvoert.

U kunt ook zelf sandboxen maken om software te testen of te analyseren in een beschermde omgeving waar het geen schade kan toebrengen aan de rest van uw systeem.

Hoe Sandboxes essentieel zijn voor beveiliging

Een sandbox is een streng gecontroleerde omgeving waar programma's kunnen worden uitgevoerd. Sandboxes beperken wat een stukje code kan doen, geven het net zoveel machtigingen als het nodig heeft zonder extra rechten toe te voegen die misbruikt zouden kunnen worden.

Uw webbrowser voert bijvoorbeeld in feite webpagina's uit die u in een sandbox bezoekt. Ze zijn beperkt tot het uitvoeren van uw browser en toegang tot een beperkte set bronnen - zij kunnen uw webcam niet zonder toestemming bekijken of de lokale bestanden van uw computer lezen. Als websites die u bezoekt niet in de sandbox staan en geïsoleerd zijn van de rest van uw systeem, zou het bezoeken van een kwaadwillende website net zo slecht zijn als het installeren van een virus.

Andere programma's op uw computer hebben ook een sandbox. Google Chrome en Internet Explorer worden bijvoorbeeld allebei in een sandbox uitgevoerd. Deze browsers zijn programma's die op uw computer worden uitgevoerd, maar ze hebben geen toegang tot uw volledige computer. Ze worden uitgevoerd in een modus voor lage machtigingen. Zelfs als de webpagina een beveiligingsprobleem zou hebben en de controle over de browser zou kunnen overnemen, zou deze de zandbak van de browser moeten verlaten om echte schade aan te richten. Door de webbrowser met minder rechten uit te voeren, krijgen we meer veiligheid. Helaas draait Mozilla Firefox nog steeds niet in een sandbox.

Wat is er al Sandboxed

Een groot deel van de code die uw apparaten elke dag uitvoeren, is al in de sandbox voor uw bescherming:

Webpagina's: Uw browser archiveert in essentie de webpagina's die worden geladen. Webpagina's kunnen JavaScript-code uitvoeren, maar deze code kan niet alles doen wat hij wil: als JavaScript-code toegang probeert te krijgen tot een lokaal bestand op uw computer, mislukt het verzoek.
Browser Plug-in inhoud: Inhoud die wordt geladen door browserinvoegtoepassingen, zoals Adobe Flash of Microsoft Silverlight, wordt ook in een sandbox uitgevoerd. Een flashgame op een webpagina spelen is veiliger dan een game downloaden en uitvoeren als een standaardprogramma, omdat Flash de game isoleert van de rest van uw systeem en beperkt wat het kan doen. Browserplug-ins, met name Java, zijn een veel voorkomend doelwit van aanvallen waarbij beveiligingskwetsbaarheden worden gebruikt om aan deze sandbox te ontsnappen en schade aan te richten.
PDF's en andere documenten: Adobe Reader voert nu PDF-bestanden uit in een sandbox, waardoor ze niet kunnen ontsnappen uit de PDF-viewer en met de rest van uw computer kunnen knoeien. Microsoft Office heeft ook een sandbox-modus om te voorkomen dat onveilige macro's schade toebrengen aan uw systeem.
Browsers en andere potentieel kwetsbare applicaties: Webbrowsers worden uitgevoerd in de modus met weinig rechten, in de sandbox-modus om ervoor te zorgen dat ze niet veel schade kunnen aanrichten als ze worden gehackt:
Mobiele apps: Mobiele platforms gebruiken hun apps in een sandbox. Apps voor iOS, Android en Windows 8 zijn beperkt in het doen van veel van de dingen die standaard desktop-applicaties kunnen doen. Ze moeten toestemming verlenen als ze iets willen doen zoals toegang tot uw locatie. In ruil daarvoor krijgen we wat beveiliging - de sandbox isoleert ook apps van elkaar, zodat ze niet met elkaar kunnen knoeien.
Windows-programma's: Gebruikersaccountbeheer functioneert als een beetje een sandbox, waardoor Windows-bureaubladapplicaties in wezen worden beperkt in het wijzigen van systeembestanden zonder eerst toestemming te vragen. Merk op dat dit een zeer minimale bescherming is - elk Windows-bureaubladprogramma zou ervoor kunnen kiezen om op de achtergrond te zitten en al uw toetsaanslagen te loggen, bijvoorbeeld. Gebruikersaccountbeheer beperkt de toegang tot systeembestanden en systeembrede instellingen.

Sandbox Elk programma

Desktop-programma's zijn standaard niet over het algemeen sandboxed. Natuurlijk, er is UAC - maar zoals we hierboven al noemden, dat is zeer minimale sandboxing. Als u een programma wilt testen en uitvoeren zonder dat het de rest van uw systeem kan storen, kunt u elk programma in een sandbox uitvoeren.

Virtuele machines: Een virtueel machineprogramma zoals VirtualBox of VMware maakt virtuele hardwareapparaten die het gebruikt om een besturingssysteem uit te voeren. Het andere besturingssysteem wordt in een venster op uw bureaublad uitgevoerd. Dit hele besturingssysteem is in essentie sandboxed omdat het geen toegang heeft tot iets buiten de virtuele machine. U zou software op het gevirtualiseerde besturingssysteem kunnen installeren en die software kunnen uitvoeren alsof deze op een standaardcomputer draait. Hiermee kunt u bijvoorbeeld malware installeren en analyseren, of gewoon een programma installeren en kijken of het iets slechts doet. Virtuele machineprogramma's bevatten ook snapshot-functies, zodat u uw gastbesturingssysteem kunt "terugdraaien" naar de staat waarin het verkeerde voordat u de slechte software installeerde.

Sandboxie: Sandboxie is een Windows-programma dat sandboxen voor Windows-toepassingen maakt. Het creëert geïsoleerde virtuele omgevingen voor programma's, waardoor ze geen permanente wijzigingen aan uw computer kunnen aanbrengen. Dit kan handig zijn voor het testen van software. Raadpleeg onze introductie bij Sandboxie voor meer informatie.

Sandboxing is niet iets waar de gemiddelde gebruiker zich zorgen over hoeft te maken. De programma's die je gebruikt, werken op de achtergrond om je veilig te houden. Houd echter wel rekening met wat er in de sandbox staat en wat niet - daarom is het veiliger om een website te laden dan om het even welk programma uit te voeren.

Als u echter een standaard desktopprogramma met sandbox wilt sandboxen dat normaal niet met een sandbox zou zijn, kunt u dit doen met een van de bovenstaande tools.