Одного антивируса современным угрозам уже недостаточно — киберпреступники регулярно находят способы обходить сигнатурные проверки и поведенческий анализ. Дополнительный рубеж обороны дают программы-песочницы (Sandbox): они разворачивают изолированную среду, в которой можно без опасений открыть незнакомый файл, сомнительную ссылку или непроверенное приложение, не рискуя основной системой. Разберём, какие инструменты для изоляции запуска доступны пользователям Windows.
Windows Sandbox
Самый доступный вариант — встроенная песочница Windows 10/11 редакций Pro и Enterprise, бесплатная и уже входящая в состав системы. В основе Windows Sandbox лежат гипервизор Hyper-V и технологии контейнеризации, поэтому для её работы нужен процессор с поддержкой аппаратной виртуализации и не менее 4 Гбайт оперативной памяти. По умолчанию функция отключена: включить её можно через «Компоненты Windows» в панели управления, отметив пункт «Песочница Windows» и перезагрузив компьютер после установки системных файлов.
Каждый запуск Windows Sandbox стартует «с нуля» — все изменения откатываются после закрытия среды, так что удалять установленные программы вручную не нужно. В отличие от классической виртуальной машины отдельная копия Windows не требуется: образ ОС формируется динамически из файлов и DLL-библиотек хостовой системы, что экономит место на диске и ресурсы. Запустить можно только один экземпляр песочницы, а тонкую настройку — виртуализацию GPU, доступ к сети, общие папки, буфер обмена, автозапуск скриптов — задают через конфигурационные файлы с расширением .wsb.
Microsoft Defender Application Guard
Если песочница нужна исключительно для безопасного веб-сёрфинга, достаточно бесплатного модуля Application Guard, который работает в связке с Microsoft Defender. Включается он так же, через «Компоненты Windows», после чего в браузере Edge появляется возможность открывать сайты в изолированном окружении на базе Hyper-V — о работе в защищённом режиме сигнализирует специальный значок на панели инструментов. Расширения Application Guard доступны также для Google Chrome и Mozilla Firefox. Отдельно стоит функция открытия офисных документов в безопасной среде при интеграции с Microsoft 365 — но она предназначена только для корпоративных решений Microsoft.
Sandboxie
Sandboxie — проект с открытым исходным кодом, созданный разработчиком Дэвидом Ксанатосом. Программа поддерживает Windows 7/8.1/10/11, неограниченное число песочниц и не требует аппаратной виртуализации, а ещё умеет работать как портативное приложение с флешки. Базовая версия бесплатна, но с урезанным набором функций — снять ограничения позволяет сертификат стоимостью от 20 долларов.
Возможности у Sandboxie серьёзные: списки автозапуска исполняемых файлов в песочнице, политики доступа приложений к системным компонентам, правила встроенного брандмауэра для каждого процесса, детальный мониторинг вносимых изменений и индивидуальные настройки для каждой изолированной среды. Окна программ, запущенных в песочнице, обводятся жёлтой рамкой. При этом инструмент требует грамотной настройки — ошибки в конфигурации способны ослабить защиту, поэтому Sandboxie скорее подойдёт опытным пользователям, хорошо знающим особенности Windows.
SHADE Sandbox
Автор SHADE Sandbox — выпускник университета «Дубна» Евгений Балабанов, основатель компании SHADE Sandbox LLC. Программа стоит от 30 долларов (доступна 30-дневная пробная версия) и делает ставку на предельную простоту: управление построено по принципу drag-and-drop — достаточно перетащить ярлык программы в стартовое окно песочницы. Дополнительных настроек почти нет, зато есть просмотр виртуальных директорий и быстрая очистка песочниц от накопившегося файлового мусора. Поддерживается одновременная работа с несколькими изолированными средами, а аппаратная виртуализация для запуска не обязательна — программа подойдёт и старым компьютерам.
Comodo Free Antivirus
Встроенная песочница есть и у бесплатного антивируса Comodo Security Solutions — обычно такой функциональности удостаиваются только платные продукты. Comodo Free Antivirus поддерживает несколько одновременно работающих песочниц, позволяет открывать изолированным средам доступ к отдельным файлам, папкам, буферу обмена и ключам реестра, настраивать автозапуск приложений с повышенными привилегиями или низким рейтингом по оценке антивируса, а также защищать песочницы паролем. Для контроля процессов внутри изолированной среды предусмотрен встроенный диспетчер задач. Продукт производит приятное впечатление и не докучает рекламой, но при установке нужно быть внимательным: инсталлятор норовит поставить дополнительно фирменный браузер Comodo Dragon.
Avast Premium Security
Коммерческий антивирус Avast Software тоже умеет создавать защищённые среды — при установке можно ограничиться только модулем песочницы, не разворачивая весь пакет. Функциональность здесь скромнее конкурентов: блокировка выхода изолированных приложений в интернет, разрешение переноса данных за пределы песочницы, список программ для автозапуска и простейший диспетчер задач. Стоимость — от 40 долларов в год, доступна 30-дневная пробная версия. Отдельная оговорка: после начала известных геополитических событий Avast приостановила продажу продуктов в России и Белоруссии, а скачивание дистрибутивов заблокировано, так что приобрести антивирус теперь можно лишь окольными путями.
360 Total Security
Бесплатный антивирус китайской компании Beijing Qihu Keji в базовой версии активно предлагает рекламные баннеры. Его песочница, в отличие от решений Comodo и Avast, требует обязательной поддержки аппаратной виртуализации — без неё изолированная среда просто не заработает, хотя в документации на этот момент внимание не обращается. По функциям песочница 360 Total Security похожа на конкурентов: блокировка сетевого доступа, настройка хранения файлов, выбор программ для автозапуска и базовый менеджер задач. Помимо антивируса и песочницы в комплект входят анализатор диска и оптимизатор системы сомнительной полезности, отказаться от которых нельзя.
Что выбрать
Выбор Sandbox-приложений для Windows не назовёшь большим, но подходящий вариант найти можно. Для повседневного использования разумнее всего присмотреться к встроенной Windows Sandbox, Microsoft Defender Application Guard или Comodo Free Antivirus, если не смущает довесок в виде антивируса. Avast Premium Security тоже хорош, но платный и сейчас сложен в приобретении для российских пользователей. Sandboxie — самый мощный и гибкий инструмент, но рассчитан скорее на опытных ИТ-специалистов, чем на тех, кто ждёт от программы работы «из коробки».
Источник: 3DNews.