サンドボックスとは？

サンドボックスの意味

疑わしいプログラムやファイルを、実際の業務環境から隔離された仮想的な領域で動作させ、その挙動を安全に観察する仕組み。未知のマルウェアかどうかを実行結果から判断できる。

サンドボックスの具体例

添付ファイル付きのメールを受信すると、メールサーバがまず添付ファイルをサンドボックス上で実行し、不審な挙動が無いことを確認してから利用者に届ける。

サンドボックスは試験でどう引っ掛けられる？

隔離した環境で実際に動かして観察する点が、定義ファイルと照合するパターンマッチング方式との分岐点。ただし万能ではなく、解析環境だと気づくと無害な動作しかしない「サンドボックス回避」型のマルウェアがある。DMZ（公開サーバを置くネットワーク区画）とも別物。

サンドボックスと関連する用語

• マルウェア検知手法

サンドボックスが出た過去問

• マルウェアの動的解析に該当するものはどれか。

  正解：検体をサンドボックス上で実行し、その動作や外部との通信を観測する。

  要点：動的解析は検体を隔離環境で実行し挙動を観測すること

  動的解析とは、検体を実際に実行させてその挙動を観測する手法である。安全に実行するために隔離環境（サンドボックス）を用い、ファイル操作やレジストリ変更、外部への通信などを記録する。これに対し、実行せずにコードや特徴を調べる手法は静的解析と呼ばれ、ハッシュ値照合や逆アセンブル・逆コンパイルによる解析が該当する。

  出典：令和1年度 秋期 基本情報技術者試験 午前 問36（IPA）

• マルウェアの動的解析に該当するものはどれか。

  正解：検体をサンドボックス上で実行し、その動作や外部との通信を観測する。

  要点：動的解析は隔離環境で実行して挙動を観測する

  動的解析は、検体を実際に実行させて挙動を観測する手法である。安全のために外部と隔離されたサンドボックス環境で動かし、ファイルやレジストリの操作、外部との通信先などを記録する。実行せずにコードや特徴を調べる手法は静的解析と呼ばれ、ハッシュ値の照合や逆コンパイルによる解析が該当する。

  出典：令和4年度 s 基本情報技術者試験 kamokuA 問35（IPA）