¿Qué es el sandboxing en ciberseguridad? Detección de amenazas

El sandboxing aísla archivos sospechosos para analizar su comportamiento de forma segura. Descubra cómo funciona, sus limitaciones y cómo la IA basada en comportamiento refuerza este enfoque.

¿Qué es el sandboxing?

El sandboxing es una técnica de seguridad que ejecuta código no confiable dentro de un entorno controlado y aislado para observar su comportamiento sin exponer los sistemas de producción, los datos o los endpoints a posibles daños. Cuando un archivo sospechoso llega a tu bandeja de entrada y tus herramientas de análisis estático no devuelven firmas conocidas, cuando tu SIEM (Gestión de Información y Eventos de Seguridad) no muestra indicadores de compromiso coincidentes, el sandbox te da una forma de averiguar qué hace ese archivo sin poner en riesgo tu red.

NIST SP 800-83 define el sandboxing como un modelo de seguridad donde "las aplicaciones se ejecutan dentro de un sandbox, un entorno controlado que restringe las operaciones que las aplicaciones pueden realizar y que las aísla de otras aplicaciones que se ejecutan en el mismo host".

En la práctica, se envía un archivo, URL o muestra de código a este entorno aislado. El sandbox permite que la muestra se ejecute, registra cada acción que realiza y entrega un informe de comportamiento. Si la muestra descarga una carga útil de segunda etapa, modifica claves de registro o se comunica con un servidor de comando y control, lo verás todo sin que ningún activo de producción sea afectado.

Por qué el sandboxing es importante en ciberseguridad

El sandboxing ocupa una posición específica e importante en tu pila de defensa: cierra la brecha entre lo que conocen las herramientas basadas en firmas y lo que no sabes. Cuando tus búsquedas de hash y fuentes de IOC no arrojan resultados, el sandbox se convierte en tu cámara de detonación para lo desconocido.

NIST SP 800-94 posiciona el análisis de código basado en sandbox como una técnica dentro de la detección y prevención de intrusiones basadas en host, junto con el análisis de tráfico de red, la monitorización del sistema de archivos y el análisis de registros.

El boletín NIST mapea el sandboxing a través de las fases de respuesta a incidentes de NIST SP 800-61, desde la Preparación hasta la Actividad Posterior al Incidente.

Las siguientes secciones desglosan cómo funciona el sandboxing a nivel técnico, dónde aporta más valor y dónde tiene limitaciones.

Cómo funciona el sandboxing

El sandboxing sigue una canalización estructurada. Cada etapa se basa en la anterior para producir un veredicto de comportamiento.

1. Envío y recepción: Se envía un artefacto sospechoso, ya sea un archivo, un adjunto de correo electrónico, una URL o un script. En la mayoría de los despliegues empresariales, este envío ocurre mediante la integración con tu gateway de correo electrónico, proxy web o SOAR (Orquestación, Automatización y Respuesta de Seguridad) en lugar de una carga manual.
2. Pre-filtrado estático: Antes de la ejecución, el sandbox realiza un análisis estático. Genera hashes criptográficos, extrae cadenas incluyendo direcciones IP y nombres de dominio, y los compara con listas negras conocidas. Según investigación de ACM CCS, esta etapa ayuda a clasificar variantes conocidas y reducir el volumen de muestras que requieren detonación completa.
3. Detonación en un entorno aislado: Las muestras que el filtrado estático no puede resolver pasan al análisis dinámico. El sandbox ejecuta el archivo dentro de una máquina virtual o contenedor aislado.
4. Observación y registro de comportamiento: Durante la ejecución, el sandbox registra cada acción observable que realiza la muestra: secuencias de llamadas a API, modificaciones del sistema de archivos, cambios en el registro, conexiones de red, creación de procesos y comunicación entre procesos. Un estudio alojado por NIST describe cómo estos registros de tiempo de ejecución pueden estructurarse como vectores de características para la clasificación posterior.
5. Veredicto y salida de inteligencia: El sandbox produce un informe de comportamiento que clasifica la muestra. Estos artefactos estructurados alimentan tus reglas de correlación de SIEM, plataformas de inteligencia de amenazas y canalizaciones de análisis de comportamiento.

Esta canalización es consistente en las implementaciones de sandbox, pero la infraestructura subyacente varía significativamente según dónde y cómo se ejecute el entorno aislado.

Sandboxing vs Máquinas Virtuales y Contenedores

Los sandboxes, las máquinas virtuales y los contenedores proporcionan aislamiento, pero cumplen diferentes propósitos y aplican distintos límites.

Una máquina virtual emula una pila completa de hardware, ejecutando su propio kernel de sistema operativo, controladores y espacio de usuario. Las VM son entornos de cómputo de propósito general diseñados para el aislamiento de cargas de trabajo, pruebas de desarrollo y consolidación de servidores. No están diseñadas para restringir lo que el software que se ejecuta dentro de ellas puede hacer. Una carga maliciosa que se ejecuta dentro de una VM tiene acceso completo al sistema operativo invitado, y la VM en sí no monitoriza ni informa sobre el comportamiento de la carga.

Un contenedor comparte el kernel del sistema operativo del host pero aísla procesos mediante namespaces y grupos de control. Los contenedores están diseñados para el empaquetado y la eficiencia en el despliegue de aplicaciones. Se inician más rápido y consumen menos recursos que las VM, pero su límite de aislamiento es más delgado porque dependen del kernel del host para las llamadas al sistema.

Un sandbox está diseñado específicamente para el análisis de seguridad. Restringe las operaciones que un proceso puede realizar, monitoriza cada acción que realiza el proceso y produce un informe estructurado de comportamiento. Los sandboxes pueden ejecutarse dentro de VM, dentro de contenedores o como mecanismos de aislamiento a nivel de aplicación independientes. La característica definitoria es la intención: los sandboxes existen para observar y restringir código no confiable, mientras que las VM y los contenedores existen para ejecutar cargas de trabajo.

Aspecto	Sandbox	Máquina virtual	Contenedor
Propósito principal	Análisis de seguridad y observación de comportamiento	Aislamiento de cargas de trabajo de propósito general	Empaquetado y despliegue de aplicaciones
Nivel de aislamiento	Restricción a nivel de proceso con monitorización de comportamiento	Emulación completa de hardware con kernel de SO separado	Aislamiento a nivel de SO mediante namespaces y cgroups
Overhead	Varía según la implementación	Alto (SO completo por instancia)	Bajo (kernel compartido)
Informe de comportamiento	Sí, veredictos estructurados y artefactos forenses	No incluye análisis de comportamiento	No incluye análisis de comportamiento
Uso en seguridad	Detonación de malware, análisis de amenazas, respuesta a incidentes	Alojamiento de entornos de sandbox, pruebas segmentadas	Triaje ligero, procesamiento de muestras de alto volumen

En la práctica, estas tecnologías trabajan juntas. Muchos sandboxes empresariales utilizan VM basadas en hipervisor como entorno de detonación para lograr un fuerte confinamiento. Los sandboxes basados en contenedores gestionan el triaje de alto volumen donde la velocidad es más importante que la emulación completa de hardware. La elección adecuada depende de tu modelo de amenazas y los requisitos de rendimiento.

Tipos de sandboxes

No todos los sandboxes funcionan de la misma manera. La implementación que elijas afecta la fidelidad, el rendimiento y los tipos de amenazas que puedes detectar. Los principales tipos se diferencian por dónde y cómo se ejecuta el entorno aislado:

• Sandboxes en la nube realizan la detonación en un entorno alojado por el proveedor. Se despliegan rápidamente, escalan bajo demanda y no requieren infraestructura local. La desventaja es la personalización limitada: como el entorno no refleja la configuración real de tus endpoints, el malware consciente del entorno puede suprimir su comportamiento. SANS ISC señala esto como una fuente de falsos negativos frente a amenazas dirigidas.
• Sandboxes locales (on-premises) se ejecutan dentro de tu propio centro de datos o red aislada. Pueden replicar tus compilaciones exactas de SO, software instalado y topología de red, lo que mejora la fidelidad frente a adversarios que identifican sus objetivos antes de detonar. El costo es un mayor mantenimiento y escalabilidad limitada.
• Sandboxes basados en hipervisor utilizan máquinas virtuales completas para aislar la ejecución. Esto proporciona límites de confinamiento sólidos y un comportamiento realista del SO, pero las VM presentan artefactos detectables (claves de registro, cadenas de BIOS, discrepancias de tiempo) que el malware revisa rutinariamente. MITRE T1497.001 documenta estas técnicas de identificación.
• Sandboxes basados en contenedores utilizan aislamiento a nivel de SO en lugar de emulación completa de hardware. Los contenedores son más ligeros y rápidos de iniciar, lo que los hace eficientes para el triaje de alto volumen. Sin embargo, comparten el kernel del host, lo que reduce la fuerza del aislamiento en comparación con los enfoques basados en hipervisor.

La elección del tipo adecuado depende de tu modelo de amenazas. El filtrado de correo electrónico de alto volumen favorece la velocidad de la nube o los contenedores; las investigaciones de amenazas dirigidas se benefician de la fidelidad local. Independientemente de la implementación, todo sandbox se basa en los mismos dos métodos de análisis principales para evaluar el comportamiento de una muestra.

Análisis estático y dinámico en sandbox

Las compensaciones entre el análisis estático y dinámico determinan cómo se diseña una canalización de sandbox eficiente.

Aspecto	Análisis estático	Análisis dinámico
Método	Examina el código sin ejecutarlo	Ejecuta la muestra en un entorno aislado
Velocidad	Rápido; escala bien como capa de triaje	Costoso computacionalmente; poco práctico como escaneo universal
Fortaleza	Clasificación rápida de variantes conocidas	Perfilado de comportamiento preciso de amenazas desconocidas
Debilidad	Dificultad con código ofuscado, empaquetado o basado en reflexión	No puede escalar para analizar cada archivo entrante
Riesgo de evasión	Los atacantes usan capas de empaquetado para evadir el filtrado estático	El malware consciente del entorno suprime el comportamiento en VM

El modelo híbrido que utilizan los profesionales aplica primero el análisis estático para una clasificación rápida, reservando el análisis dinámico para las muestras que el filtrado estático no puede resolver. La investigación académica confirma este enfoque como el estándar práctico: para llamadas a API y secuencias de opcodes, las estrategias totalmente dinámicas suelen ser más efectivas, pero las restricciones de costos requieren diseños híbridos.

Cuando se implementa de manera efectiva, esta combinación de métodos de análisis e infraestructura de sandbox ofrece varias ventajas concretas para las operaciones de seguridad.

Beneficios clave del sandboxing

El sandboxing aporta valor en múltiples puntos del ciclo de vida de la seguridad, desde el filtrado previo a la ejecución hasta la investigación forense posterior al incidente. Las ventajas principales se centran en su capacidad para analizar amenazas desconocidas de forma segura y producir inteligencia estructurada.

• Identificación de amenazas desconocidas y de día cero: El sandboxing permite detonar archivos que ninguna base de datos de firmas ha visto antes, identificando malware novedoso a través del comportamiento observado en lugar de conocimiento previo.
• Detonación segura sin riesgo para producción: La propiedad de aislamiento documentada por NIST garantiza que, incluso cuando el malware se ejecuta completamente, no puede alcanzar sistemas de producción, otros endpoints o datos sensibles.
• Evidencia estructurada de comportamiento para respuesta a incidentes: El análisis dinámico produce artefactos forenses concretos: secuencias de llamadas a API, conexiones de red, modificaciones de registro. Estos se convierten en evidencia accionable para tu flujo de trabajo de respuesta a incidentes, no solo en un veredicto de aprobado/reprobado.
• Eficiencia en el triaje mediante pre-filtrado estático: El análisis estático como primer paso reduce la carga de trabajo del analista. Las variantes conocidas se clasifican de inmediato. Tus analistas dedican recursos de detonación solo a las muestras que realmente lo requieren.
• Retroalimentación de inteligencia a modelos de IA: Los veredictos de sandbox para muestras novedosas generan firmas de comportamiento que retroalimentan los modelos de IA de comportamiento. Esto permite la identificación futura de patrones de técnicas similares sin requerir otro ciclo de detonación.
• Cobertura a lo largo del ciclo de respuesta a incidentes: El sandboxing contribuye tanto a las fases de prevención como de análisis. Se utiliza proactivamente para filtrar archivos entrantes y de forma reactiva para investigar artefactos recuperados durante la respuesta a incidentes.

Estos beneficios son reales, pero vienen acompañados de limitaciones que debes comprender antes de confiar en los veredictos del sandbox.

Limitaciones del sandboxing

El sandboxing tiene limitaciones estructurales que ninguna configuración o selección de proveedor puede eliminar por completo. Los adversarios explotan activamente estas brechas, por lo que entender dónde falla el sandboxing es tan importante como saber dónde sobresale.

• Limitaciones de ventana temporal: Las ventanas de detonación del sandbox son limitadas. Los adversarios lo saben. SUNBURST, la carga detrás del ataque a la cadena de suministro de SolarWinds, permaneció inactivo más allá de las ventanas normales de análisis de sandbox. Según MITRE T1497.003, la evasión basada en el tiempo es una técnica documentada de los adversarios.
• Dependencias de interacción humana: MITRE ATT&CK indica que la evasión basada en la actividad del usuario "no puede detenerse fácilmente con controles preventivos ya que se basa en el abuso de funciones del sistema". Los sandboxes no pueden hacer clic en flujos de diálogo, resolver CAPTCHAs ni simular un comportamiento humano auténtico. FIN7 está documentado como usuario de requisitos de interacción humana para evitar el análisis autónomo.
• Huellas identificables de sandbox: Los entornos virtuales filtran huellas estables a través de discrepancias de tiempo, entradas de registro, direcciones MAC y artefactos de CPU. Familias de malware como RogueRobin revisan cadenas de versión de BIOS contra identificadores de VM conocidos. OopsIE consulta temperaturas de zonas térmicas de CPU que los entornos virtuales no pueden replicar con valores realistas.
• Puntos ciegos para amenazas fileless: Los sandboxes tradicionales requieren un artefacto de archivo detonable. El malware fileless que se ejecuta completamente en memoria a través de procesos legítimos no produce un archivo discreto para el análisis de sandbox. El side-loading de DLL dirige la ejecución maliciosa a través de aplicaciones permitidas, eludiendo por completo el disparador basado en archivos del sandbox.
• La carrera armamentista fundamental: La investigación académica enmarca la evasión de sandbox como una carrera de evasión. Cada contramedida genera nuevas técnicas de evasión. Esto es una propiedad estructural del enfoque, no un problema de configuración.

Estas limitaciones se convierten en vulnerabilidades explotables cuando se combinan con técnicas de evasión deliberadas.

Técnicas de evasión de sandbox

MITRE ATT&CK clasifica la evasión de sandbox bajo T1497 evasión de sandbox, cubriendo tres sub-técnicas.

• Comprobaciones de sistema (T1497.001): El malware consulta claves de registro, cadenas de BIOS, listas de procesos, direcciones MAC y propiedades de hardware para identificar entornos virtuales. Bumblebee busca rutas de archivos y claves de registro en múltiples productos de virtualización. DarkTortilla enumera procesos en ejecución para firmas de Hyper-V, QEMU, Virtual PC, VirtualBox, VMware y Sandboxie.
• Comprobaciones de actividad del usuario (T1497.002): Los adversarios verifican que haya un humano real presente. El loader de Okrum requiere entrada repetida del usuario antes de ejecutar su carga útil.
• Evasión basada en el tiempo (T1497.003): El instalador de GoldenSpy retrasa la instalación. EvilBunny utiliza mediciones de tiempo de diferentes APIs antes y después de operaciones de suspensión, abortando si las discrepancias indican un sandbox.

Más allá de T1497, los atacantes utilizan side-loading de DLL para dirigir la ejecución a través de aplicaciones permitidas sin un artefacto de archivo para escanear. Estos métodos de evasión refuerzan la necesidad de decisiones arquitectónicas deliberadas al desplegar infraestructura de sandbox.

Mejores prácticas de sandboxing

Las siguientes prácticas te ayudan a obtener el máximo beneficio de los despliegues de sandbox teniendo en cuenta las técnicas de evasión y las limitaciones estructurales mencionadas anteriormente.

Utiliza el análisis estático como pre-filtro

Aplica el análisis estático primero como capa de triaje. Envía solo las muestras no resueltas a la detonación dinámica. Sin este paso de pre-filtrado, el análisis dinámico se convierte en un cuello de botella; bajo presión, los equipos reducen la exhaustividad de la detonación o saltan el análisis por completo. El filtrado estático preserva la capacidad de análisis profundo para las muestras que realmente lo requieren.

Prioriza la fidelidad ambiental para objetivos de alto valor

Para escenarios de ataques dirigidos, despliega sandboxes locales que repliquen tus herramientas organizacionales, pila de software y configuración de red. Los sandboxes genéricos en la nube son más rápidos pero menos fiables frente a amenazas conscientes del entorno.

Integra la salida del sandbox en tus flujos de trabajo SIEM y SOAR

Conecta los veredictos de comportamiento a reglas de correlación, playbooks de respuesta y canalizaciones de entrenamiento de IA de comportamiento. Los sandboxes que generan informes de forma aislada, sin enrutar los veredictos a tus sistemas de análisis más amplios, desperdician la inversión analítica. Trata la salida del sandbox como entrada estructurada para tu canalización de operaciones, no como informes PDF independientes.

Superpone el sandboxing con IA de comportamiento y EDR

Los controles SANS establecen que la seguridad de endpoint debe incluir protección contra amenazas de día cero mediante heurísticas de comportamiento de red, no solo detonación en sandbox. La IA de comportamiento aborda las limitaciones de latencia y evasión. El sandboxing proporciona análisis profundo para muestras novedosas. Combinar ambos dentro de una plataforma EDR ofrece una cobertura más sólida que cualquiera por sí solo.

Actualiza los entornos de sandbox regularmente

Los entornos desactualizados con artefactos de VM conocidos son más fácilmente identificables. Elimina regularmente firmas de hipervisor identificables, nombres de procesos conocidos y claves de registro reveladoras.

Incluso con estas prácticas, el sandboxing funciona mejor cuando se aplica a los escenarios operativos donde aporta más valor.

Casos de uso comunes del sandboxing

El sandboxing se aplica en múltiples puntos de tus operaciones de seguridad, desde el filtrado proactivo hasta la investigación forense posterior a una brecha. Los siguientes casos de uso representan donde el análisis de sandbox ofrece el mayor retorno.

• Filtrado de adjuntos de correo electrónico y URLs: El correo electrónico sigue siendo el principal vector de entrega de malware. Los sandboxes integrados con tu gateway de correo electrónico detonan adjuntos y URLs incrustadas antes de que lleguen a las bandejas de entrada de los usuarios. Cuando una muestra desencadena un comportamiento malicioso durante la detonación, el gateway pone en cuarentena el mensaje y envía el informe de comportamiento a tu SOC para triaje.
• Análisis de malware de día cero: Cuando tus bases de datos de firmas y fuentes de IOC no arrojan coincidencias, el sandbox es tu primer paso analítico para muestras desconocidas. Detonar un supuesto día cero en un entorno controlado produce el perfil de comportamiento que necesitas para construir indicadores, escribir reglas de correlación y distribuir inteligencia al resto de tu pila.
• Respuesta a incidentes e investigación forense: Durante la respuesta activa a incidentes, tu equipo recupera artefactos sospechosos de endpoints comprometidos, volcados de memoria y capturas de red. El sandboxing de estos artefactos produce datos de comportamiento estructurados que se mapean a MITRE ATT&CK, acelerando el análisis de causa raíz y ayudando a delimitar el alcance total del compromiso.
• Validación de software y parches: Los equipos de seguridad utilizan sandboxes para validar software de terceros, parches y actualizaciones antes de desplegarlos en producción. Ejecutar nuevos binarios en un entorno aislado revela comportamientos inesperados, incluyendo llamadas de red salientes, intentos de escalada de privilegios o acceso no autorizado al sistema de archivos, antes de que lleguen a tus endpoints de producción.
• Enriquecimiento de inteligencia de amenazas: Los informes de detonación de sandbox generan IOC estructurados, firmas de comportamiento y mapeos de técnicas que alimentan directamente tu plataforma de inteligencia de amenazas. Con el tiempo, esto crea una biblioteca interna de inteligencia específica para las amenazas que apuntan a tu organización, enriqueciendo tus reglas de correlación SIEM e informando la búsqueda proactiva de amenazas.

Estos casos de uso demuestran dónde encaja el sandboxing en un modelo de defensa en capas. Para organizaciones que enfrentan amenazas que operan más allá de la ventana analítica del sandbox, combinar el análisis de sandbox con IA de comportamiento en tiempo real en el endpoint cierra las brechas restantes.

Detén amenazas desconocidas con SentinelOne

La Plataforma Singularity utiliza un modelo de doble motor que combina análisis previo a la ejecución y en tiempo real para cubrir las brechas donde la detonación en sandbox por sí sola no es suficiente.

• IA estática escanea archivos antes de la ejecución, clasificando la intención maliciosa en el punto de ingreso. 
• IA de comportamiento rastrea las relaciones de procesos en tiempo real en el endpoint activo, identificando malware fileless y exploits de día cero a medida que se ejecutan. Juntos, los dos motores de IA analizan eventos de endpoint para detectar amenazas que los enfoques basados en firmas y sandbox pasan por alto.

Cuando el motor de comportamiento detecta una anomalía, Singularity Complete responde de forma autónoma: finaliza procesos no autorizados, pone en cuarentena archivos maliciosos y ejecuta 1-Click Rollback para revertir daños. La tecnología patentada Storyline proporciona contexto forense completo sin correlación manual entre herramientas desconectadas. 

Singularity™ Binary Vault automatiza la carga de archivos maliciosos y benignos, el análisis forense y la integración con herramientas de seguridad. Puedes verificar los ejecutables recopilados para asegurarte de que estén libres de funciones no deseadas y no autorizadas que puedan introducir riesgos innecesarios. Puedes personalizar tu experiencia de seguridad con exclusiones definibles por el usuario de tipos de archivos y rutas. Optimiza la retención de datos, los flujos de trabajo, la analítica y mucho más. También ayuda con entornos de sandboxing y es un complemento para Singularity™ Endpoint. Consulta el recorrido.

Purple AI apoya las investigaciones de amenazas traduciendo lenguaje natural en consultas estructuradas. Las organizaciones que utilizan Purple AI reportan una identificación de amenazas un 63% más rápida y una reducción del 55% en el tiempo medio de respuesta (IDC Business Value Report). AI SIEM procesa datos de seguridad a velocidades que SentinelOne mide como 100 veces más rápido que las plataformas SIEM heredadas.

En las Evaluaciones MITRE ATT&CK 2024, SentinelOne entregó un 88% menos de alertas que la mediana, con un 100% de detección y cero retrasos (MITRE ATT&CK Evaluations). SentinelOne es Líder durante cinco años en el Cuadrante Mágico de Gartner para Plataformas de Protección de Endpoint (2025) y fue nombrado el proveedor de mejor desempeño en el Frost Radar para Endpoint Security 2025.

Solicita una demostración de SentinelOne para ver cómo la IA de comportamiento autónoma detiene las amenazas que el análisis solo con sandbox no detecta.

Puntos clave

El sandboxing sigue siendo valioso para detonar archivos desconocidos y generar inteligencia de comportamiento. Sin embargo, las técnicas de evasión (basadas en tiempo, actividad del usuario y huellas de entorno) están bien documentadas en MITRE ATT&CK. Forrester ubicó el sandboxing independiente en su categoría Divest, y Gartner ya no considera el sandboxing de red como una categoría activa independiente en Peer Insights. 

La defensa más sólida combina IA de comportamiento en el endpoint activo con análisis profundo en sandbox, creando un bucle de inteligencia bidireccional que detecta amenazas que el sandboxing por sí solo no puede identificar.

Preguntas frecuentes

¿Qué es el sandboxing en ciberseguridad?

El sandboxing es una técnica de seguridad que ejecuta código, archivos o URLs no confiables dentro de un entorno aislado para observar su comportamiento sin poner en riesgo los sistemas de producción. El sandbox registra acciones como modificaciones de archivos, conexiones de red y creación de procesos, y luego entrega un veredicto basado en el comportamiento. 

Se utiliza para el análisis de zero-day, triaje de malware e investigaciones de respuesta a incidentes.

¿Cuál es la diferencia entre un sandbox y una máquina virtual?

Una máquina virtual es un entorno de cómputo de propósito general que emula hardware. Un sandbox es una construcción específica de seguridad que restringe las operaciones que una aplicación puede realizar y la aísla de otros procesos. 

Los sandboxes pueden ejecutarse dentro de máquinas virtuales, pero también existen como contenedores, entornos basados en hipervisor o mecanismos de aislamiento a nivel de aplicación.

¿Puede el sandboxing detener el ransomware?

El sandboxing puede identificar el comportamiento de ransomware, incluidos los patrones de cifrado de archivos y la comunicación C2, durante la detonación. Sin embargo, no puede detener el ransomware que evade el análisis en sandbox mediante retrasos temporales, requisitos de interacción del usuario o fingerprinting del entorno. 

Combinar el análisis en sandbox con IA conductual que monitorea la actividad en el endpoint en tiempo real y activa la reversión autónoma proporciona una protección más sólida contra el ransomware.

¿Cómo saben los atacantes que están dentro de un sandbox?

Los atacantes utilizan comprobaciones del sistema (consultas al registro, coincidencia de cadenas de BIOS, enumeración de procesos), comprobaciones de actividad del usuario (análisis de movimiento del ratón, conteo de clics) y comprobaciones de tiempo (validación cruzada de llamadas API, verificación de temporizadores de suspensión). 

MITRE ATT&CK documenta estas técnicas bajo T1497 con ejemplos de malware nombrados para cada sub-técnica.

¿Sigue siendo relevante el sandboxing?

Sí, pero no como una solución independiente. Forrester ubicó el sandboxing independiente en su categoría de Desinversión. 

El sandboxing sigue siendo valioso como un componente de análisis profundo dentro de las plataformas de XDR y EDR, generando inteligencia de comportamiento que alimenta los modelos de IA y enriquece los flujos de trabajo de búsqueda de amenazas.

¿Qué tipos de amenazas no puede detectar el sandboxing?

Los sandboxes tienen dificultades con malware sin archivos (sin artefacto de archivo para detonar), ataques living-off-the-land que abusan de herramientas legítimas, amenazas que requieren interacción humana y muestras con periodos de latencia extendidos que superan las ventanas de análisis del sandbox. 

Los ataques de carga lateral de DLL que se ejecutan a través de aplicaciones permitidas también evitan la activación basada en archivos del sandbox.

¿Puede el sandboxing detectar ataques de zero-day?

Sí. El sandboxing identifica amenazas de día cero analizando el comportamiento en lugar de depender de firmas conocidas. Cuando un archivo sin coincidencia de firma se ejecuta en un sandbox, el entorno registra sus acciones y señala patrones maliciosos independientemente de si alguna base de datos ha visto la muestra antes. 

La limitación es que algunas cargas útiles de día cero utilizan técnicas de evasión para suprimir el comportamiento durante la ventana de detonación, lo que hace que combinar el análisis de sandbox con IA de comportamiento en el endpoint cierre esa brecha.