Qu'est-ce que le sandboxing en cybersécurité ? Détection des menaces

Le sandboxing isole les fichiers suspects afin d'analyser leur comportement en toute sécurité. Découvrez son fonctionnement, ses limites et comment l'IA comportementale renforce cette approche.

Qu'est-ce que le sandboxing ?

Le sandboxing est une technique de sécurité qui exécute du code non fiable dans un environnement contrôlé et isolé afin d'observer son comportement sans exposer les systèmes de production, les données ou les endpoints à des risques potentiels. Lorsqu'un fichier suspect arrive dans votre boîte de réception et que vos outils d'analyse statique ne détectent aucune signature connue, lorsque votre SIEM (Security Information and Event Management) n'affiche aucun indicateur de compromission correspondant, le sandbox vous permet de découvrir ce que fait ce fichier sans mettre votre réseau en danger.

NIST SP 800-83 définit le sandboxing comme un modèle de sécurité dans lequel « les applications sont exécutées dans un sandbox, un environnement contrôlé qui limite les opérations que les applications peuvent effectuer et qui les isole des autres applications s'exécutant sur le même hôte ».

En pratique, vous soumettez un fichier, une URL ou un échantillon de code dans cet environnement isolé. Le sandbox laisse l'échantillon s'exécuter, enregistre chaque action effectuée et fournit un rapport comportemental. Si l'échantillon déploie une charge utile de second niveau, modifie des clés de registre ou communique avec un serveur de commande et de contrôle, vous voyez tout cela sans qu'aucun actif de production ne soit affecté.

Pourquoi le sandboxing est important en cybersécurité

Le sandboxing occupe une position spécifique et importante dans votre pile de défense : il comble le fossé entre ce que les outils basés sur les signatures connaissent et ce que vous ignorez. Lorsque vos recherches de hachage et vos flux d'IOC ne donnent aucun résultat, le sandbox devient votre chambre de détonation pour l'inconnu.

NIST SP 800-94 positionne l'analyse de code basée sur le sandbox comme une technique parmi d'autres pour la détection et la prévention des intrusions sur l'hôte, aux côtés de l'analyse du trafic réseau, de la surveillance du système de fichiers et de l'analyse des journaux.

Le bulletin NIST cartographie le sandboxing à travers les phases de réponse aux incidents du NIST SP 800-61, de la préparation à l'activité post-incident.

Les sections suivantes détaillent le fonctionnement technique du sandboxing, ses principaux apports et ses limites.

Comment fonctionne le sandboxing

Le sandboxing suit un pipeline structuré. Chaque étape s'appuie sur la précédente pour produire un verdict comportemental.

1. Soumission et réception : Vous soumettez un artefact suspect, qu'il s'agisse d'un fichier, d'une pièce jointe d'e-mail, d'une URL ou d'un script. Dans la plupart des déploiements d'entreprise, cette soumission se fait via l'intégration avec votre passerelle de messagerie, proxy web ou playbook SOAR (Security Orchestration, Automation, and Response) plutôt que par un téléchargement manuel.
2. Pré-filtrage statique : Avant l'exécution, le sandbox effectue une analyse statique. Il génère des hachages cryptographiques, extrait des chaînes telles que des adresses IP et des noms de domaine, et les recoupe avec des listes noires connues. Selon une recherche ACM CCS, cette étape aide à classer les variantes connues et à réduire le volume d'échantillons nécessitant une détonation complète.
3. Détonation dans un environnement isolé : Les échantillons que le filtrage statique ne peut pas résoudre passent à l'analyse dynamique. Le sandbox exécute le fichier dans une machine virtuelle ou un conteneur isolé.
4. Observation comportementale et journalisation : Pendant l'exécution, le sandbox enregistre chaque action observable de l'échantillon : séquences d'appels API, modifications du système de fichiers, changements de registre, connexions réseau, création de processus et communication inter-processus. Une étude hébergée par le NIST décrit comment ces journaux d'exécution peuvent être structurés en vecteurs de caractéristiques pour une classification en aval.
5. Verdict et sortie d'intelligence : Le sandbox produit un rapport comportemental classant l'échantillon. Ces artefacts structurés alimentent vos règles de corrélation SIEM, plateformes de renseignement sur les menaces et pipelines d'analyse comportementale.

Ce pipeline est cohérent entre les implémentations de sandbox, mais l'infrastructure sous-jacente varie considérablement selon l'emplacement et le mode d'exécution de l'environnement isolé.

Sandboxing vs machines virtuelles et conteneurs

Les sandboxes, machines virtuelles et conteneurs offrent tous une isolation, mais ils servent des objectifs différents et appliquent des frontières distinctes.

Une machine virtuelle émule une pile matérielle complète, exécutant son propre noyau OS, ses pilotes et son espace utilisateur. Les VM sont des environnements de calcul polyvalents conçus pour l'isolation des charges de travail, les tests de développement et la consolidation des serveurs. Elles ne sont pas conçues pour restreindre ce que le logiciel exécuté à l'intérieur peut faire. Une charge malveillante exécutée dans une VM a un accès complet à l'OS invité, et la VM elle-même ne surveille ni ne rapporte le comportement de la charge.

Un conteneur partage le noyau OS de l'hôte mais isole les processus via des espaces de noms et des groupes de contrôle. Les conteneurs sont conçus pour l'empaquetage et le déploiement efficace des applications. Ils démarrent plus rapidement et consomment moins de ressources que les VM, mais leur frontière d'isolation est plus fine car ils dépendent du noyau hôte pour les appels système.

Un sandbox est conçu spécifiquement pour l'analyse de sécurité. Il restreint les opérations qu'un processus peut effectuer, surveille chaque action du processus et produit un rapport comportemental structuré. Les sandboxes peuvent s'exécuter dans des VM, dans des conteneurs ou comme mécanismes d'isolation au niveau applicatif. La caractéristique déterminante est l'intention : les sandboxes existent pour observer et restreindre le code non fiable, tandis que les VM et conteneurs existent pour exécuter des charges de travail.

Aspect	Sandbox	Machine virtuelle	Conteneur
Objectif principal	Analyse de sécurité et observation comportementale	Isolation polyvalente des charges de travail	Empaquetage et déploiement d'applications
Niveau d'isolation	Restriction au niveau du processus avec surveillance comportementale	Émulation matérielle complète avec noyau OS séparé	Isolation au niveau OS via namespaces et cgroups
Surcharge	Variable selon l'implémentation	Élevée (OS complet par instance)	Faible (noyau partagé)
Rapport comportemental	Oui, verdicts structurés et artefacts forensiques	Pas d'analyse comportementale intégrée	Pas d'analyse comportementale intégrée
Utilisation en sécurité	Détonation de malwares, analyse de menaces, réponse aux incidents	Hébergement d'environnements sandbox, tests segmentés	Triage léger, traitement de gros volumes d'échantillons

En pratique, ces technologies fonctionnent ensemble. De nombreux sandboxes d'entreprise utilisent des VM basées sur hyperviseur comme environnement de détonation pour une forte isolation. Les sandboxes basés sur des conteneurs gèrent le triage à haut volume lorsque la rapidité prime sur l'émulation matérielle complète. Le choix dépend de votre modèle de menace et de vos besoins en débit.

Types de sandboxes

Tous les sandboxes ne fonctionnent pas de la même manière. L'implémentation choisie influe sur la fidélité, la performance et les types de menaces détectables. Les principaux types se distinguent selon l'emplacement et le mode d'exécution de l'environnement isolé :

• Sandboxes cloud exécutent la détonation dans un environnement hébergé par le fournisseur. Ils se déploient rapidement, s'adaptent à la demande et ne nécessitent aucune infrastructure locale. Le compromis est une personnalisation limitée : comme l'environnement ne reflète pas la configuration réelle de vos endpoints, les malwares sensibles à l'environnement peuvent masquer leur comportement. SANS ISC signale cela comme une source de faux négatifs face aux menaces ciblées.
• Sandboxes sur site (locaux) s'exécutent dans votre propre datacenter ou réseau isolé. Ils peuvent répliquer vos versions exactes d'OS, logiciels installés et topologie réseau, ce qui améliore la fidélité face aux adversaires qui fingerprintent leurs cibles avant détonation. Le coût est une maintenance accrue et une évolutivité limitée.
• Sandboxes basés sur hyperviseur utilisent des machines virtuelles complètes pour isoler l'exécution. Cela offre de fortes frontières d'isolation et un comportement OS réaliste, mais les VM présentent des artefacts détectables (clés de registre, chaînes BIOS, écarts de temps) que les malwares vérifient couramment. MITRE T1497.001 documente ces techniques de fingerprinting.
• Sandboxes basés sur conteneur utilisent une isolation au niveau OS au lieu d'une émulation matérielle complète. Les conteneurs sont plus légers et rapides à lancer, ce qui les rend efficaces pour le triage à haut volume. Cependant, ils partagent le noyau hôte, ce qui réduit la force d'isolation par rapport aux approches basées sur hyperviseur.

Le choix du type dépend de votre modèle de menace. Le filtrage d'e-mails à haut volume privilégie la rapidité du cloud ou des conteneurs ; les enquêtes sur des menaces ciblées bénéficient de la fidélité du local. Quelle que soit l'implémentation, chaque sandbox repose sur les deux mêmes méthodes d'analyse pour évaluer le comportement d'un échantillon.

Analyse statique et dynamique en sandbox

Les compromis entre analyse statique et dynamique déterminent l'architecture d'un pipeline de sandbox efficace.

Aspect	Analyse statique	Analyse dynamique
Méthode	Examine le code sans l'exécuter	Exécute l'échantillon dans un environnement isolé
Vitesse	Rapide ; s'adapte bien comme couche de triage	Coûteuse en ressources ; peu pratique comme scan universel
Force	Classification rapide des variantes connues	Profilage comportemental précis des menaces inconnues
Faiblesse	Difficulté avec le code obfusqué, packé ou basé sur la réflexion	Impossible de traiter chaque fichier entrant
Risque d'évasion	Les attaquants utilisent des couches de packing pour contourner le filtrage statique	Les malwares sensibles à l'environnement masquent leur comportement dans les VM

Le modèle hybride utilisé en pratique applique d'abord l'analyse statique pour une classification rapide, réservant l'analyse dynamique aux échantillons non résolus. La recherche académique confirme cette approche comme standard : pour les appels API et séquences d'opcodes, les stratégies entièrement dynamiques sont généralement les plus efficaces, mais les contraintes de coût imposent des conceptions hybrides.

Déployée efficacement, cette combinaison de méthodes d'analyse et d'infrastructure sandbox offre plusieurs avantages concrets aux opérations de sécurité.

Principaux avantages du sandboxing

Le sandboxing apporte de la valeur à plusieurs étapes du cycle de sécurité, du filtrage pré-exécution à la forensic post-incident. Les avantages clés résident dans sa capacité à analyser en toute sécurité des menaces inconnues et à produire une intelligence structurée.

• Identification des menaces zero-day et inconnues : Le sandboxing permet de détoner en toute sécurité des fichiers inconnus de toute base de signatures, identifiant de nouveaux malwares par le comportement observé plutôt que par la connaissance préalable.
• Détonation sûre sans risque pour la production : L'isolation documentée par le NIST garantit que même si un malware s'exécute complètement, il ne peut pas atteindre les systèmes de production, autres endpoints ou données sensibles.
• Preuves comportementales structurées pour la réponse aux incidents : L'analyse dynamique produit des artefacts forensiques concrets : séquences d'appels API, connexions réseau, modifications du registre. Ceux-ci deviennent des preuves exploitables pour votre workflow de réponse aux incidents, et non un simple verdict binaire.
• Efficacité du triage grâce au pré-filtrage statique : L'analyse statique en première passe réduit la charge des analystes. Les variantes connues sont classées immédiatement. Vos analystes n'utilisent les ressources de détonation que pour les échantillons qui en ont réellement besoin.
• Rétroaction d'intelligence vers les modèles d'IA : Les verdicts de sandbox pour les nouveaux échantillons génèrent des signatures comportementales qui alimentent les modèles d'IA comportementale. Cela permet d'identifier à l'avenir des schémas similaires sans nécessiter un nouveau cycle de détonation.
• Couverture sur l'ensemble du cycle de réponse aux incidents : Le sandboxing contribue à la fois aux phases de prévention et d'analyse. Il est utilisé de manière proactive pour filtrer les fichiers entrants et de manière réactive pour enquêter sur les artefacts récupérés lors de la réponse aux incidents.

Ces avantages sont réels, mais ils s'accompagnent de contraintes qu'il convient de comprendre avant de se fier aux verdicts du sandbox.

Limites du sandboxing

Le sandboxing présente des contraintes structurelles qu'aucune configuration ou choix de fournisseur ne peut totalement éliminer. Les adversaires exploitent activement ces failles, il est donc aussi important de connaître les limites du sandboxing que ses points forts.

• Contraintes de fenêtre temporelle : Les fenêtres de détonation en sandbox sont limitées. Les adversaires le savent. SUNBURST, la charge utile derrière l'attaque supply chain SolarWinds, est restée dormante au-delà des fenêtres d'analyse habituelles. Selon MITRE T1497.003, l'évasion basée sur le temps est une technique documentée.
• Dépendances à l'interaction humaine : MITRE ATT&CK indique que l'évasion basée sur l'activité utilisateur « ne peut pas être facilement stoppée par des contrôles préventifs car elle repose sur l'abus de fonctionnalités système ». Les sandboxes ne peuvent pas cliquer sur des dialogues, résoudre des CAPTCHAs ou simuler un comportement humain authentique. FIN7 est documenté comme utilisant des exigences d'interaction utilisateur pour éviter l'analyse autonome.
• Empreintes de sandbox identifiables : Les environnements virtuels laissent des empreintes stables via des écarts de temps, des entrées de registre, des adresses MAC et des artefacts CPU. Des familles de malwares comme RogueRobin vérifient les chaînes de version BIOS contre des identifiants de VM connus. OopsIE interroge les températures des zones thermiques CPU que les environnements virtuels ne peuvent pas reproduire de façon réaliste.
• Angles morts pour les menaces fileless : Les sandboxes traditionnels nécessitent un artefact de fichier à détoner. Les malwares fileless s'exécutant entièrement en mémoire via des processus légitimes ne produisent aucun fichier distinct pour l'analyse sandbox. Le side-loading de DLL permet une exécution malveillante via des applications approuvées, contournant totalement le déclenchement basé sur les fichiers.
• La course aux armements fondamentale : La recherche académique présente l'évasion de sandbox comme une course à l'évasion. Chaque contre-mesure engendre de nouvelles techniques d'évasion. Il s'agit d'une propriété structurelle de l'approche, non d'un problème de configuration.

Ces limites deviennent des vulnérabilités exploitables lorsqu'elles sont associées à des techniques d'évasion délibérées.

Techniques d'évasion du sandbox

MITRE ATT&CK classe l'évasion de sandbox sous T1497 sandbox evasion, couvrant trois sous-techniques.

• Vérifications système (T1497.001) : Les malwares interrogent les clés de registre, chaînes BIOS, listes de processus, adresses MAC et propriétés matérielles pour identifier les environnements virtuels. Bumblebee recherche des chemins de fichiers et des clés de registre sur plusieurs produits de virtualisation. DarkTortilla énumère les processus en cours pour détecter les signatures Hyper-V, QEMU, Virtual PC, VirtualBox, VMware et Sandboxie.
• Vérifications d'activité utilisateur (T1497.002) : Les adversaires vérifient la présence d'un humain réel. Le loader d'Okrum exige des entrées utilisateur répétées avant d'exécuter sa charge utile.
• Évasion basée sur le temps (T1497.003) : L'installeur de GoldenSpy retarde l'installation. EvilBunny utilise des mesures de temps provenant de différentes API avant et après des opérations de sommeil, annulant si des écarts indiquent un sandbox.

Au-delà de T1497, les attaquants utilisent le side-loading de DLL pour exécuter du code via des applications approuvées sans artefact de fichier à analyser. Ces méthodes d'évasion soulignent la nécessité de choix architecturaux réfléchis lors du déploiement d'une infrastructure sandbox.

Bonnes pratiques pour le sandboxing

Les pratiques suivantes vous aident à tirer le meilleur parti des déploiements de sandbox tout en tenant compte des techniques d'évasion et des limites structurelles évoquées ci-dessus.

Utiliser l'analyse statique comme pré-filtre

Appliquez l'analyse statique en premier comme couche de triage. N'envoyez en détonation dynamique que les échantillons non résolus. Sans ce pré-filtrage, l'analyse dynamique devient un goulet d'étranglement ; sous pression, les équipes réduisent la profondeur d'analyse ou la sautent complètement. Le filtrage statique préserve la capacité d'analyse approfondie pour les échantillons qui en ont réellement besoin.

Privilégier la fidélité environnementale pour les cibles à forte valeur

Pour les scénarios d'attaques ciblées, déployez des sandboxes locaux qui répliquent vos outils, votre stack logiciel et votre configuration réseau. Les sandboxes cloud génériques sont plus rapides mais moins fiables face aux menaces sensibles à l'environnement.

Intégrer la sortie du sandbox dans vos workflows SIEM et SOAR

Connectez les verdicts comportementaux aux règles de corrélation, playbooks de réponse et pipelines d'entraînement IA comportementale. Les sandboxes qui génèrent des rapports isolés, sans intégrer les verdicts à vos systèmes d'analyse globaux, gaspillent l'investissement analytique. Considérez la sortie du sandbox comme une entrée structurée dans votre pipeline opérationnel, et non comme de simples rapports PDF autonomes.

Superposer le sandboxing avec l'IA comportementale et l'EDR

Les contrôles SANS établissent que la sécurité des endpoints doit inclure une protection zero-day via des heuristiques comportementales réseau, et non le seul sandboxing. L'IA comportementale répond aux limites de latence et d'évasion. Le sandboxing fournit une analyse approfondie pour les nouveaux échantillons. Associer les deux au sein d'une plateforme EDR offre une couverture plus forte que l'un ou l'autre seul.

Mettre à jour régulièrement les environnements sandbox

Des environnements obsolètes avec des artefacts VM connus sont plus facilement fingerprintés. Supprimez régulièrement les signatures d'hyperviseur identifiables, les noms de processus connus et les clés de registre révélatrices.

Même avec ces pratiques, le sandboxing est le plus efficace lorsqu'il est appliqué aux scénarios opérationnels où il apporte le plus de valeur.

Cas d'usage courants du sandboxing

Le sandboxing s'applique à plusieurs étapes de vos opérations de sécurité, du filtrage proactif à la forensic post-incident. Les cas d'usage suivants illustrent là où l'analyse sandbox offre le meilleur retour sur investissement.

• Filtrage des pièces jointes et URL d'e-mails : L'e-mail reste le vecteur principal de diffusion des malwares. Les sandboxes intégrés à votre passerelle de messagerie détonent les pièces jointes et URL intégrées avant qu'elles n'atteignent les boîtes de réception des utilisateurs. Lorsqu'un échantillon déclenche un comportement malveillant lors de la détonation, la passerelle met le message en quarantaine et transmet le rapport comportemental à votre SOC pour triage.
• Analyse de malwares zero-day : Lorsque vos bases de signatures et flux d'IOC ne donnent aucun résultat, le sandbox est votre première étape analytique pour les échantillons inconnus. Détoner un zero-day suspect dans un environnement contrôlé produit le profil comportemental nécessaire pour créer des indicateurs, écrire des règles de corrélation et diffuser l'intelligence au reste de votre pile.
• Réponse aux incidents et investigation forensique : Lors d'une réponse à incident active, votre équipe récupère des artefacts suspects sur des endpoints compromis, des dumps mémoire et des captures réseau. Le sandboxing de ces artefacts produit des données comportementales structurées qui se rapportent aux techniques MITRE ATT&CK, accélérant l'analyse des causes racines et aidant à évaluer l'étendue de la compromission.
• Validation de logiciels et de correctifs : Les équipes de sécurité utilisent les sandboxes pour valider les logiciels tiers, correctifs et mises à jour avant leur déploiement en production. L'exécution de nouveaux binaires dans un environnement isolé révèle des comportements inattendus, tels que des appels réseau sortants, des tentatives d'élévation de privilèges ou des accès non autorisés au système de fichiers, avant qu'ils n'atteignent vos endpoints de production.
• Enrichissement du renseignement sur les menaces : Les rapports de détonation sandbox génèrent des IOC structurés, des signatures comportementales et des mappings de techniques qui alimentent directement votre plateforme de renseignement sur les menaces. Au fil du temps, cela crée une bibliothèque interne d'intelligence spécifique aux menaces ciblant votre organisation, enrichissant vos règles de corrélation SIEM et informant la chasse proactive aux menaces.

Ces cas d'usage montrent où le sandboxing s'intègre dans un modèle de défense en profondeur. Pour les organisations confrontées à des menaces opérant au-delà de la fenêtre analytique du sandbox, associer l'analyse sandbox à l'IA comportementale en temps réel sur le endpoint comble les lacunes restantes.

Stoppez les menaces inconnues avec SentinelOne

La plateforme Singularity utilise un modèle à double moteur combinant analyse pré-exécution et analyse en temps réel pour couvrir les lacunes là où la seule détonation sandbox est insuffisante.

• IA statique analyse les fichiers avant exécution, classant l'intention malveillante dès l'ingestion. 
• IA comportementale suit les relations de processus en temps réel sur le endpoint actif, identifiant les malwares fileless et les exploits zero-day à mesure qu'ils s'exécutent. Ensemble, les deux moteurs IA analysent les événements endpoint pour détecter les menaces que les approches basées sur les signatures et le sandboxing manquent.

Lorsque le moteur comportemental détecte une anomalie, Singularity Complete réagit de façon autonome : arrêt des processus non autorisés, mise en quarantaine des fichiers malveillants et exécution du Rollback 1-Click pour annuler les dommages. La technologie brevetée Storyline fournit un contexte forensic complet sans corrélation manuelle entre outils déconnectés. 

Singularity™ Binary Vault automatise le téléchargement de fichiers malveillants et bénins, l'analyse forensic et l'intégration avec les outils de sécurité. Vous pouvez vérifier les exécutables collectés pour garantir l'absence de fonctions indésirables ou non autorisées susceptibles d'introduire des risques. Vous pouvez personnaliser votre expérience de sécurité avec des exclusions définies par l'utilisateur sur les types de fichiers et chemins. Rationalisez la rétention des données, les workflows, l'analytique et bien plus encore. Il aide également à la gestion des environnements sandbox et constitue un module complémentaire à Singularity™ Endpoint. Découvrez la visite guidée.

Purple AI facilite les investigations en traduisant le langage naturel en requêtes structurées. Les organisations utilisant Purple AI signalent une identification des menaces 63 % plus rapide et une réduction de 55 % du temps moyen de réponse (IDC Business Value Report). L'AI SIEM traite les données de sécurité à des vitesses que SentinelOne estime 100 fois supérieures aux plateformes SIEM traditionnelles.

Lors des MITRE ATT&CK Evaluations 2024, SentinelOne a généré 88 % d'alertes en moins que la médiane, avec 100 % de détection et aucun délai (MITRE ATT&CK Evaluations). SentinelOne est Leader du Magic Quadrant Gartner pour les plateformes de protection des endpoints pour la cinquième année consécutive (2025) et a été désigné meilleur fournisseur dans le Frost Radar for Endpoint Security 2025.

Demandez une démo SentinelOne pour découvrir comment l'IA comportementale autonome bloque les menaces que l'analyse sandbox seule ne détecte pas.

Points clés à retenir

Le sandboxing reste utile pour détoner des fichiers inconnus et générer de l'intelligence comportementale. Cependant, les techniques d'évasion (basées sur le temps, l'activité utilisateur et le fingerprinting environnemental) sont bien documentées dans MITRE ATT&CK. Forrester a classé le sandboxing autonome dans sa catégorie Divest, et Gartner ne considère plus le sandboxing réseau comme une catégorie de marché Peer Insights active. 

La défense la plus efficace superpose l'IA comportementale sur le endpoint actif à l'analyse approfondie du sandbox, créant une boucle d'intelligence bidirectionnelle qui détecte les menaces que le seul sandboxing ne peut pas arrêter.

FAQ

Qu'est-ce que le sandboxing en cybersécurité ?

Le sandboxing est une technique de sécurité qui exécute du code, des fichiers ou des URL non fiables dans un environnement isolé afin d'observer leur comportement sans risquer les systèmes de production. Le sandbox enregistre les actions telles que les modifications de fichiers, les connexions réseau et la création de processus, puis fournit un verdict comportemental. 

Il est utilisé pour l'analyse des zero-day, le triage des malwares et les investigations lors de la réponse aux incidents.

Quelle est la différence entre un sandbox et une machine virtuelle ?

Une machine virtuelle est un environnement informatique généraliste qui émule du matériel. Un sandbox est une construction spécifique à la sécurité qui restreint les opérations qu'une application peut effectuer et l'isole des autres processus. 

Les sandboxes peuvent s'exécuter dans des machines virtuelles mais existent aussi sous forme de conteneurs, d'environnements basés sur l'hyperviseur ou de mécanismes d'isolation au niveau applicatif.

Le sandboxing peut-il arrêter les ransomwares ?

Le sandboxing peut identifier le comportement du ransomware, y compris les schémas de chiffrement de fichiers et la communication C2, lors de la détonation. Cependant, il ne peut pas arrêter les ransomwares qui contournent l’analyse sandbox grâce à des délais temporisés, des exigences d’interaction utilisateur ou du fingerprinting d’environnement. 

Associer l’analyse sandbox à une IA comportementale qui surveille l’activité en temps réel sur les endpoints et déclenche un rollback autonome offre une protection renforcée contre les ransomwares.

Comment les attaquants savent-ils qu'ils sont dans un sandbox ?

Les attaquants utilisent des vérifications système (requêtes au registre, correspondance de chaînes BIOS, énumération des processus), des vérifications d'activité utilisateur (analyse des mouvements de souris, comptage des clics) et des vérifications temporelles (validation croisée des appels API, vérification des minuteries de veille). 

MITRE ATT&CK documente ces techniques sous T1497 avec des exemples de malwares nommés pour chaque sous-technique.

Le sandboxing est-il toujours pertinent ?

Oui, mais pas en tant que solution autonome. Forrester a classé le sandboxing autonome dans sa catégorie Divest. 

Le sandboxing reste précieux en tant que composant d’analyse approfondie au sein des plateformes XDR et EDR, générant une intelligence comportementale qui alimente les modèles d’IA et enrichit les workflows de threat hunting.

Quels types de menaces le sandboxing ne peut-il pas détecter ?

Les sandboxes rencontrent des difficultés avec les malwares sans fichier (aucun artefact à exécuter), les attaques living-off-the-land qui détournent des outils légitimes, les menaces nécessitant une interaction humaine et les échantillons avec de longues périodes de dormance dépassant la fenêtre d'analyse du sandbox. 

Les attaques par DLL side-loading exécutées via des applications sur liste blanche contournent également le déclenchement basé sur les fichiers du sandbox.

Le sandboxing peut-il détecter les attaques zero-day ?

Oui. Le sandboxing identifie les menaces zero-day en analysant le comportement plutôt qu’en se basant sur des signatures connues. Lorsqu’un fichier sans correspondance de signature s’exécute dans un sandbox, l’environnement enregistre ses actions et signale les comportements malveillants, que l’échantillon ait déjà été observé ou non dans une base de données. 

La limitation réside dans le fait que certaines charges utiles zero-day utilisent des techniques d’évasion pour masquer leur comportement pendant la fenêtre de détonation, ce qui rend nécessaire l’association de l’analyse sandbox avec l’IA comportementale sur l’endpoint pour combler cette lacune.