サンドボックスとは？OSレベル・ブラウザ・クラウド・回避攻撃手口・VM・コンテナとの違いを解説

「未知のマルウェアをどうやって安全に分析するか」「怪しいファイルを開いても本物の環境に影響を残しにくい仕組みとは」——セキュリティの現場で使われる重要な技術の一つが「サンドボックス」です。

サンドボックス（Sandbox）とは、プログラムやファイルを隔離された仮想的な環境内で実行し、本物のシステムやデータへの影響を抑えながら動作を検証・分析する技術です。OS、ブラウザ、セキュリティ製品、開発環境など、さまざまな場面で使われています。

本記事では、サンドボックスの仕組み・種類（OSレベル、ブラウザ、セキュリティ製品、クラウド）・セキュリティ分野での活用・サンドボックス回避攻撃・仮想マシンとの違い・開発テスト環境としての活用・被害や注意事例・FAQまで解説します。

サンドボックスとは？

サンドボックス（Sandbox）とは、アプリケーションやファイルを本番環境から隔離した仮想的な「箱庭」の中で実行し、問題が発生した場合でも外部のシステムやデータへの影響を抑える仕組みです。

「子どもの砂場」のたとえ
サンドボックスの語源は「砂場（Sandbox）」です。子どもが砂場で遊ぶとき、砂が外に広がりにくいように区切られた場所で遊びます。コンピューターのサンドボックスも同じで、プログラムの動作範囲を制限し、本物のOS・ファイル・ネットワークへの影響を抑えることを目的としています。

サンドボックスが保護する3つの境界

保護対象	サンドボックスの役割	例
ファイルシステム	サンドボックス内のプログラムが本体環境のファイルを変更・削除しにくいように制限する	不審なプログラムがシステムファイルを直接改ざんするリスクを抑える
ネットワーク	サンドボックス内からの外部通信を制限・遮断・監視する	マルウェアが外部サーバーへ通信しようとする挙動を検知する
他のプロセス	サンドボックス内のプロセスが他のアプリやOSの重要領域へ干渉しにくいようにする	ブラウザのタブや不審なアプリの影響範囲を抑える

サンドボックスは、危険な動作の影響範囲を小さくするための仕組みです。ただし、設定ミスや脆弱性、サンドボックス脱出攻撃がある場合には、外部へ影響が及ぶ可能性もあるため、万能ではありません。

サンドボックスの種類

OSレベルのサンドボックス

OSが提供するサンドボックス機能では、アプリケーションがシステムリソースへアクセスできる範囲を制限します。アプリごとに権限を分けることで、万が一アプリに問題があっても、被害が他の領域へ広がりにくくなります。

Windows：Windows Sandbox、AppContainer、Microsoft Defender Application Guardなどにより、アプリやWebアクセスの影響範囲を抑える
macOS：App Sandboxにより、アプリがアクセスできるファイルや機能を制限する
iOS・Android：各アプリを分離された領域で動作させ、他のアプリのデータへ自由にアクセスできないようにする

ブラウザのサンドボックス

現代のWebブラウザは、Webページ上の悪意あるコードがOSやローカルファイルに直接影響を与えにくいよう、複数の分離機能を備えています。

プロセス分離：Chromeなどのブラウザでは、タブやサイトを別プロセスで処理することで、1つのページで問題が起きた場合の影響範囲を抑える
サイト分離：異なるサイトのコンテンツを分離し、他サイトの情報を不正に読み取られにくくする
Content Security Policy（CSP）：Webサーバー側の指定により、読み込めるスクリプトやリソースを制限し、XSSなどのリスクを下げる

ブラウザのサンドボックスは、Web閲覧時のリスクを下げる重要な仕組みですが、ブラウザや拡張機能の脆弱性を悪用される可能性もあるため、常に最新バージョンに更新することが重要です。

セキュリティ製品のサンドボックス

セキュリティ製品のサンドボックスは、未知のマルウェアや不審なファイルを隔離環境で動作させ、挙動を分析するために使われます。

従来のシグネチャ型検知では見つけにくいゼロデイ攻撃や標的型攻撃に対して、ファイルの動作そのものを確認できる点が特徴です。

メールのサンドボックス：受信メールの添付ファイルやURLを隔離環境で確認し、不審な挙動がないか分析する
Webゲートウェイのサンドボックス：ユーザーがダウンロードしようとするファイルを事前に検査する
EDRとの連携：端末で検知した不審なプロセスやファイルをサンドボックスへ送信し、詳細分析を行う

クラウドサンドボックス

クラウドサンドボックスは、オンプレミス環境ではなくクラウド上でファイルやURLを分析するサービスです。最新の脅威インテリジェンスと連携しやすく、複数環境での分析や運用負荷の軽減に役立ちます。

代表的なサービス：Palo Alto Networks WildFire、Check Point SandBlast、Cisco Secure Malware Analytics、CrowdStrike Falcon Sandboxなど
メリット：最新の脅威データと連携しやすい、複数環境で分析しやすい、運用負荷を抑えやすい
注意点：機密ファイルをクラウドに送ることへのプライバシー・コンプライアンス上の確認が必要

開発・テスト環境としてのサンドボックス

セキュリティ以外の文脈でも、開発者が本番環境に影響を与えずコードやAPIをテストするための隔離環境を「サンドボックス」と呼ぶことがあります。

APIのサンドボックス：決済サービスや地図サービスなどで、本番データを使わずにAPIをテストできる環境
コンテナ：アプリケーションや依存関係を分離し、開発・検証・デプロイをしやすくする仕組み
仮想マシン：本番環境とは別の仮想コンピューターを用意し、検証や分析に使う方法

サンドボックスと仮想マシン（VM）・コンテナの違い

技術	隔離のレベル	主な目的	リソース消費	起動速度
サンドボックス	アプリケーションや実行環境単位	特定プログラムの安全な実行・挙動確認・分析	低〜中程度	比較的速い
仮想マシン（VM）	OS全体	独立したコンピューター環境の提供	高め	比較的遅い
コンテナ	プロセスやアプリケーション単位	アプリの依存関係の分離・開発・デプロイ	低め	速い

サンドボックスと仮想マシンの使い分け
セキュリティ製品のサンドボックスでは、内部的に仮想マシン技術を使うことがあります。ただし、サンドボックスは「特定のファイルやプロセスの動作を確認すること」に重点があり、仮想マシンは「独立したOS環境を用意すること」に重点があります。目的に応じて使い分けることが重要です。

セキュリティ製品でのサンドボックスの仕組み

セキュリティ製品のサンドボックスでは、不審なファイルやURLを隔離環境で実行・観察し、マルウェアかどうかを判定します。

ファイル・URLの受け取り：メールゲートウェイ、Webプロキシ、EDRなどが不審なファイルやURLを検出し、サンドボックスへ送る
隔離環境での実行：本体環境とは分離された仮想環境でファイルを開き、動作を確認する
挙動の監視・記録：ファイル変更、レジストリ変更、外部通信、プロセス起動、メモリ上の挙動などを記録する
分析・判定：記録した挙動をルール、脅威インテリジェンス、機械学習などで分析し、危険性を判定する
対応：危険と判断されたファイルをブロック・隔離し、アラートや分析レポートを生成する

たとえば、ファイルが大量の文書を暗号化しようとする、外部の不審なサーバーへ接続しようとする、別のプロセスを起動して権限昇格を試みるといった挙動は、マルウェアの疑いがある動作として検知される場合があります。

サンドボックス回避攻撃

サンドボックスは有効な分析技術ですが、高度なマルウェアの中には、サンドボックスや仮想環境で実行されていることを検知し、分析中は悪意ある動作を隠すものがあります。このような手法を「サンドボックス回避」と呼びます。

主なサンドボックス回避手法

回避手法	内容
環境検知	仮想マシンやサンドボックス特有のプロセス名、レジストリキー、ハードウェア情報などを確認し、分析環境だと判断すると動作を止める
時間遅延実行	一定時間待機してから悪意ある処理を実行し、短時間の自動分析をすり抜けようとする
ユーザー操作の待機	マウス操作、キーボード入力、スクロールなど、人間らしい操作があるまで悪意ある処理を実行しない
スリープAPI悪用	Sleep関数などを使って実行を遅らせ、サンドボックス側の早送り処理を検知する場合がある
ファイルレスマルウェア	ディスク上にファイルを残さず、メモリ内や正規ツールを悪用して動作し、ファイルベースの分析を回避する
標的環境限定実行	特定のドメイン名、IPアドレス、ユーザー名、端末名など、標的環境でのみ悪意ある動作をする

サンドボックス回避への対策
現代のサンドボックス製品では、スリープ処理の検知、人間の操作のシミュレーション、実環境に近いユーザープロファイルの利用、複数環境での分析などにより、回避技術への対策を行っています。ただし、検知漏れを完全になくすことは難しいため、サンドボックスはEDR、メールフィルタリング、ネットワーク監視、従業員教育と組み合わせて使うことが重要です。

Windows Sandboxの使い方

Windows 10 Pro・Enterprise、Windows 11 Pro以上では、「Windows Sandbox」を利用できる場合があります。Windows Sandboxは、一時的な隔離環境を起動し、不審なソフトウェアや設定変更の影響を本体環境に残しにくくするための機能です。

ただし、未知のマルウェアを安易に実行してよいという意味ではありません。業務端末や重要データのある環境では、自己判断で不審なファイルを実行せず、セキュリティ担当者や専門家に相談してください。

Windows Sandboxの有効化手順

「スタート」から「Windowsの機能の有効化または無効化」を検索して開く
「Windows Sandbox」のチェックボックスをオンにする
「OK」をクリックし、必要に応じてPCを再起動する
スタートメニューから「Windows Sandbox」を起動する

Windows Sandboxの特徴
Windows Sandboxを終了すると、内部で作成したファイルや変更内容は基本的に削除され、次回はクリーンな状態で起動します。不審なインストーラーや設定変更の影響を本体環境に残しにくい点が特徴です。ただし、CPUやBIOS/UEFIで仮想化機能が有効になっている必要があります。

セキュリティ担当者・企業向けのサンドボックス活用

マルウェア解析・インシデント対応

セキュリティインシデント発生時に、マルウェアが疑われるファイルをサンドボックスで動的解析し、C2サーバーへの通信先、ファイル変更、永続化の方法、横展開の手口などを確認します。分析結果は、感染範囲の調査、遮断ルールの作成、再発防止策の検討に役立ちます。

標的型攻撃メールの検出

標的型攻撃メールでは、添付ファイルやURLを使ってマルウェア感染を狙うことがあります。メールゲートウェイやクラウドサンドボックスで添付ファイルやURLを事前に検査することで、ユーザーが開く前に不審な挙動を検知できる場合があります。

脅威ハンティング

サンドボックスの分析レポートから得られたIOC（侵害の痕跡）を使い、社内ネットワークや端末に同様の脅威が存在しないかを調査できます。たとえば、不審な通信先、ファイル名、ハッシュ値、レジストリ変更、プロセス名などをもとに、SIEMやEDRで横断的に検索します。

新しいソフトウェアの事前検査

業務で使用する新しいソフトウェアを本番環境に展開する前に、サンドボックスや検証環境で動作確認することも有効です。意図しない外部通信、不要な権限要求、設定変更、互換性の問題などを事前に確認することで、本番環境への影響を抑えられます。

サンドボックスに関連する被害・注意事例2選

事例1：Emotet感染による情報流出・不審メール発生

サンドボックスが有効に活用される代表的な場面が、Emotetのようなメール経由のマルウェア対策です。サイバーセキュリティ.comの記事では、ナビインシュアランスサービスの業務用パソコンがEmotetに感染し、端末内に記録されていた顧客情報が流出した可能性がある事例が紹介されています。

Emotetは、実在する取引先や関係者を装ったメールを使い、添付ファイルやリンクを開かせることで感染を広げるマルウェアです。感染すると、メール情報や連絡先を悪用して、さらに不審メールを拡散するおそれがあります。

こうした攻撃では、受信メールの添付ファイルやURLをサンドボックス環境で事前に実行・確認し、不審なプロセス起動、ファイル変更、外部通信などを検知することが有効です。ただし、サンドボックス回避技術を持つマルウェアもあるため、メールフィルタリング、EDR、マクロ制御、従業員教育を組み合わせた多層防御が重要です。

Emotet感染で流出や不審メール、ナビインシュアランスサービス

2022.12.27

画像：株式会社ナビインシュアランスサービスより引用株式会社ナビインシュアラン

参考：Emotet に感染した場合の対処法とは？感染経路や被害調査法を解説｜サイバーセキュリティ.com

事例2：ランサムウェア感染による生産管理・製造システムの停止

サンドボックスは、未知のランサムウェアを検知・分析するためにも活用されます。サイバーセキュリティ.comの記事では、株式会社ミヤキがランサムウェア感染に伴うシステム障害を発表し、生産管理システムや製造システムが一時停止した事例が紹介されています。

ランサムウェアは、ファイルやシステムを暗号化して利用できない状態にするマルウェアです。サンドボックス環境で不審なファイルを実行すると、大量のファイル変更、暗号化処理、不審なプロセス生成、外部サーバーへの通信など、ランサムウェア特有の挙動を検知できる場合があります。

ただし、高度なランサムウェアはサンドボックス環境を検知して動作を遅延・停止することがあります。そのため、サンドボックスだけに依存せず、EDR、バックアップ、ネットワーク分離、権限管理、脆弱性対策を組み合わせることが重要です。

ランサムウェア感染で生産ラインが一時停止│株式会社ミヤキ

2024.9.19

画像：株式会社ミヤキより引用株式会社ミヤキは2024年9月12日

参考：ランサムウェア「LockBit2.0」の脅威とは？感染経路や対処法を解説｜サイバーセキュリティ.com

よくある質問（FAQ）

Q. サンドボックスは万能なセキュリティ対策ですか？

いいえ。サンドボックスは有効な対策ですが、万能ではありません。高度なマルウェアの中には、サンドボックスや仮想環境を検知し、分析中は悪意ある動作を隠すものがあります。

そのため、サンドボックスは単独で使うのではなく、シグネチャ検知、EDR、メールフィルタリング、ネットワーク監視、バックアップ、従業員教育などと組み合わせた多層防御の一部として活用することが重要です。

Q. Windows Sandboxと仮想マシンはどう違いますか？

Windows Sandboxは、一時的な隔離環境を簡単に起動し、終了時に変更内容を残しにくいことが特徴です。不審なソフトウェアや設定変更の影響を本体環境に残しにくくする目的で使えます。

一方、VMwareやVirtualBoxなどの仮想マシンは、独立したOS環境を用意し、スナップショットで状態を保存・復元できます。マルウェア解析や詳細な検証では、スナップショットやネットワーク制御を細かく設定できる仮想マシンの方が適している場合があります。

Q. iPhoneやAndroidにもサンドボックスはありますか？

はい。iOSやAndroidでは、アプリごとに分離された領域で動作する仕組みが採用されています。各アプリは原則として、他のアプリのデータへ自由にアクセスできません。

この仕組みにより、1つのアプリに問題があっても、他のアプリやOS全体への影響を抑えやすくなっています。ただし、脱獄やroot化を行うと、本来のセキュリティ制限が弱まり、リスクが高まる可能性があります。

Q. 企業でサンドボックスを導入する際に注意することは？

主な注意点は、以下の通りです。

クラウドサンドボックスへ機密ファイルを送信する場合のプライバシー・コンプライアンスを確認する
サンドボックス回避マルウェアを想定し、EDRやネットワーク監視と組み合わせる
誤検知・検知漏れが発生した場合の対応フローを整備する
分析結果のIOCをSIEMやEDRと連携し、脅威ハンティングに活用する
従業員が自己判断で不審ファイルを実行しないよう、教育と報告ルールを整備する

Q. 無料で使えるサンドボックス分析サービスはありますか？

無料または一部無料で使えるオンライン分析サービスとして、ANY.RUN、Hybrid Analysis、VirusTotalなどがあります。ファイルやURLをアップロードすると、複数のエンジンやサンドボックスで分析結果を確認できる場合があります。

ただし、無料のオンライン分析サービスにアップロードしたファイルやURLは、他の利用者や研究者に共有される場合があります。機密情報、顧客情報、社内文書、未公開資料を含むファイルは絶対にアップロードしないでください。

まとめ

サンドボックスとは、プログラムやファイルを隔離された仮想環境内で実行し、本物のシステムやデータへの影響を抑えながら動作を検証・分析する技術です。OS、ブラウザ、セキュリティ製品、クラウドサービス、開発環境など、さまざまな場面で使われています。

セキュリティ分野では、未知のマルウェア、標的型攻撃メール、ランサムウェア、不審なURLや添付ファイルの分析に活用されます。ファイル変更、外部通信、プロセス起動、レジストリ変更などの挙動を観察することで、シグネチャだけでは見つけにくい脅威を検知できる場合があります。

一方で、高度なマルウェアは、サンドボックス環境を検知して悪意ある動作を隠すことがあります。そのため、サンドボックスは万能ではなく、EDR、メールフィルタリング、ネットワーク監視、バックアップ、従業員教育と組み合わせた多層防御の一部として活用することが重要です。

個人ユーザーはWindows Sandboxなどを使って、本体環境への影響を抑えながら検証できる場合があります。ただし、不審なファイルやマルウェアが疑われるファイルを安易に実行するのは危険です。企業では、サンドボックス分析をインシデント対応、標的型攻撃メール対策、脅威ハンティングに活用しつつ、機密ファイルの取り扱いや運用ルールを明確にしておくことが重要です。

サンドボックスとは？OSレベル・ブラウザ・クラウド・回避攻撃手口・VM・コンテナとの違いを解説｜サイバーセキュリティ.com

サンドボックスとは？OSレベル・ブラウザ・クラウド・回避攻撃手口・VM・コンテナとの違いを解説

書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！