// シス担のミカタ
ネットワークセキュリティ

サンドボックス さんどぼっくす

マルウェア検知動的解析隔離環境ゼロデイ攻撃EDR脅威インテリジェンス
サンドボックスについて教えて

簡単に言うとこんな感じ！

子どもが砂場（サンドボックス）で遊ぶとき、砂が外に飛び出ないように枠で囲まれてるよね。ITのサンドボックスも同じで、「怪しいファイルやプログラムを外の世界から切り離した安全な箱の中で動かして、悪さをするか観察する仕組み」なんだ！もし中で暴れても、本物の環境には何も影響が出ない、っていうこと！

サンドボックスとは

サンドボックス（Sandbox）とは、実際のシステム環境から完全に隔離された仮想的な実行環境のことです。不審なファイルや未知のプログラムをこの隔離空間で動作させることで、本番のシステムやネットワークに被害を与えることなく、その挙動を安全に観察・分析できます。名前の由来は、子どもが安全に遊べるよう囲われた「砂場（sandbox）」から来ています。

セキュリティの文脈でサンドボックスが注目されるのは、従来のウイルス対策（シグネチャベース検知）では検出できない未知の脅威に対応できるからです。シグネチャ型は既知のマルウェアのパターンと照合しますが、サンドボックスは実際に動かして「何をするか」を見るため、パターンが未登録のゼロデイ攻撃（まだ対策パッチが存在しない脆弱性を突く攻撃）も検出できます。

企業のメールゲートウェイやWebプロキシ、EDR（エンドポイント検出・対応）製品などに組み込まれており、添付ファイルやダウンロードしたプログラムを自動的にサンドボックスで検査してから実際のPCに届ける、という使われ方が一般的です。

サンドボックスの仕組みと構造

サンドボックスは「隔離して動かして観察する」という3ステップで機能します。

ステップ内容具体例
① 隔離（Isolation）本番環境とネットワーク・ファイルシステムを切り離した仮想環境を用意する仮想マシン（VM）やコンテナを起動
② 実行（Execution）疑わしいファイル・URLを隔離環境内で実際に動かすメール添付のExcelファイルを開く
③ 観察（Observation）プログラムの挙動を記録・分析し、悪意ある動作がないか判定する外部サーバーへの通信・レジストリ改ざんを検知

何を「観察」しているのか

サンドボックスが監視する主な行動は次のとおりです。

  • ネットワーク通信：見知らぬ外部サーバーに接続しようとしていないか（C2サーバーへのコールバック）
  • ファイル操作：システムファイルを書き換えたり、暗号化（ランサムウェア）しようとしていないか
  • レジストリ変更：OS起動時に自動実行されるよう設定しようとしていないか
  • プロセス生成：別のプロセスを起動して隠れようとしていないか
  • API呼び出し：OSの危険な機能（権限昇格・メモリ操作など）を呼び出していないか

静的解析 vs 動的解析（サンドボックス）

分析手法やり方得意なこと苦手なこと
静的解析実行せずにコードを読む既知のマルウェアパターンの照合が速い難読化・暗号化されたコードは見抜きにくい
動的解析（サンドボックス）実際に動かして挙動を観察未知の脅威・ゼロデイの検出時間がかかる・回避技術に対応が必要

現代のセキュリティ製品は両者を組み合わせて使うのが主流です。

歴史と背景

  • 1970年代：コンピュータの黎明期から「プログラムの実行環境を分離する」概念自体は存在していた（OSのプロセス分離など）
  • 2000年代初頭：ウイルスやワームが爆発的に増加し、シグネチャベースのウイルス対策では追いつかなくなってきた
  • 2007年頃：セキュリティ企業（Symantecなど）が製品にサンドボックス機能を組み込み始める
  • 2010年：高度な標的型攻撃（APT攻撃）が注目される。Stuxnetなどゼロデイを複数組み合わせた攻撃が登場し、サンドボックスの重要性が急上昇
  • 2012〜2014年：FireEyeのサンドボックス専用アプライアンスが企業に広く普及。メールやWebの全通信をサンドボックスで検査する構成が標準化
  • 2016年以降：クラウド型サンドボックス（SaaS型）が登場。オンプレミス機器を置かずにクラウド上で動的解析を行う形態が普及
  • 現在：AIと組み合わせた解析精度向上・サンドボックス回避技術（後述）への対抗が最前線の課題

サンドボックスの種類と関連技術

サンドボックスにはいくつかの実装形態があります。

サンドボックスの種類 ネットワーク型 （アプライアンス） ゲートウェイに設置 通過ファイルを自動検査 例: FireEye NX エンドポイント型 （EDR組み込み） PC・サーバー上で動作 実行前にローカル検査 例: CrowdStrike Falcon クラウド型 （SaaS） クラウドに送信して解析 機器設置不要 例: Palo Alto WildFire ⚠️ サンドボックス回避技術 環境検知型回避 仮想マシン上では動作しない マウス動作・時間経過を待つ → 対策: 人間の操作を模倣する解析環境 時限爆弾型回避 特定日時・条件になるまで潜伏 短い解析時間内は無害に見える → 対策: 長時間解析・時間操作

サンドボックスと他のセキュリティ製品の関係

製品・技術役割サンドボックスとの関係
アンチウイルス（AV）既知マルウェアのシグネチャ照合第1の防御線。サンドボックスで補完
EDRエンドポイントの挙動監視・対応サンドボックス機能を内包することが多い
SIEMログの収集・相関分析サンドボックスの検知結果をSIEMに送り統合管理
脅威インテリジェンス既知の悪意あるIPやURLの情報共有サンドボックス解析結果を情報として外部共有
WAFWebアプリへの攻撃をブロックサンドボックスとは別レイヤー（入力値の検証）

関連する規格・RFC

規格・RFC番号内容
NIST SP 800-83マルウェアインシデント防止・対応ガイド。サンドボックスを含む動的解析手法を解説
NIST SP 800-137連邦情報システムの継続的監視。サンドボックスによる継続的検査の位置づけを含む

関連用語

  • マルウェア — ウイルス・ランサムウェアなど悪意あるソフトウェアの総称
  • ゼロデイ攻撃 — パッチ未公開の脆弱性を突く攻撃。サンドボックスが有効な対象
  • EDR — エンドポイントの脅威を検出・対応するセキュリティ製品
  • SIEM — ログを統合収集・分析してインシデントを検知するシステム
  • APT攻撃 — 長期間・高度に計画された標的型攻撃。サンドボックス普及の契機
  • 脅威インテリジェンス — 攻撃者・手口に関する情報を収集・活用する仕組み
  • 仮想マシン — サンドボックスの実装基盤となる仮想化技術
  • シグネチャ検知 — 既知パターンと照合する従来型のウイルス検出手法