Wat is sandboxing in cybersecurity? Dreigingen detecteren

Wat is sandboxing?

Sandboxing is een beveiligingstechniek waarbij niet-vertrouwde code in een gecontroleerde, geïsoleerde omgeving wordt uitgevoerd om het gedrag ervan te observeren zonder productiesystemen, gegevens of endpoints aan mogelijke schade bloot te stellen. Als een verdacht bestand in uw inbox belandt en uw tools voor statische analyse geen bekende signaturen vinden, als uw SIEM (beheer van beveiligingsinformatie en -gebeurtenissen) geen overeenkomende indicatoren van compromittering toont, kunt u met de sandbox achterhalen wat dat bestand doet zonder uw netwerk in gevaar te brengen.

NIST SP 800-83 definieert sandboxing als een beveiligingsmodel waarbij "applicaties worden uitgevoerd in een sandbox, een gecontroleerde omgeving die beperkt welke bewerkingen de applicaties kunnen uitvoeren en ze isoleert van andere applicaties op dezelfde host."

In de praktijk plaats je een bestand, URL of codevoorbeeld in deze geïsoleerde omgeving. De sandbox voert het voorbeeld uit, registreert elke actie en levert een gedragsrapport op. Als het voorbeeld een secundaire payload plaatst, registersleutels wijzigt of contact opneemt met een command-and-controlserver, zie je dat allemaal zonder dat een productieomgeving wordt geraakt.

Waarom sandboxing belangrijk is in cybersecurity

Sandboxing vervult een specifieke, belangrijke rol in je beveiligingsarsenaal: het overbrugt de kloof tussen wat op handtekeningen gebaseerde tools herkennen en wat nog onbekend is. Als zoekopdrachten naar hashes en IOC-feeds niets opleveren, wordt de sandbox je testomgeving voor onbekende dreigingen.

NIST SP 800-94 beschouwt codeanalyse in een sandbox als een techniek voor hostgebaseerde detectie en preventie van indringers, naast analyse van netwerkverkeer, bestandssysteembewaking en loganalyse.

Het NIST-bulletin beschrijft de rol van sandboxing in de fasen voor incidentrespons van NIST SP 800-61, van voorbereiding tot activiteiten na het incident.

De volgende onderdelen leggen uit hoe sandboxing technisch werkt, waar het de meeste waarde toevoegt en waar de beperkingen liggen.

Hoe sandboxing werkt

Sandboxing volgt een gestructureerd proces. Elke fase bouwt voort op de vorige en draagt bij aan een oordeel op basis van gedrag.

1. Indienen en ontvangen: Je dient een verdacht bestand, een e-mailbijlage, een URL of een script in. In de meeste bedrijfsomgevingen gebeurt dit via een integratie met je e-mailgateway, webproxy of SOAR (Security Orchestration, Automation, and Response)-playbook, niet via een handmatige upload.
2. Statische voorcontrole: Vóór de uitvoering voert de sandbox een statische analyse uit. De sandbox genereert cryptografische hashes, haalt tekenreeksen op, waaronder IP-adressen en domeinnamen, en vergelijkt die met bekende zwarte lijsten. Volgens onderzoek van ACM CCS draagt deze fase bij aan de classificatie van bekende varianten en vermindert ze het aantal voorbeelden dat volledig moet worden uitgevoerd.
3. Uitvoering in een geïsoleerde omgeving: Voorbeelden waarover de statische controle geen uitsluitsel geeft, gaan door naar dynamische analyse. De sandbox voert het bestand uit in een geïsoleerde virtuele machine of container.
4. Gedrag observeren en vastleggen: Tijdens de uitvoering registreert de sandbox elke waarneembare actie van het voorbeeld: reeksen API-aanroepen, wijzigingen in het bestandssysteem en register, netwerkverbindingen, het starten van processen en communicatie tussen processen. Een door NIST gepubliceerd onderzoek beschrijft hoe deze uitvoeringslogs als kenmerkvectoren kunnen worden gestructureerd voor verdere classificatie.
5. Oordeel en dreigingsinformatie: De sandbox levert een gedragsrapport op waarin het voorbeeld wordt geclassificeerd. Deze gestructureerde gegevens voeden de correlatieregels van je SIEM, platforms voor dreigingsinformatie en processen voor gedragsanalyse.

Dit proces is vergelijkbaar bij verschillende sandboximplementaties, maar de onderliggende infrastructuur verschilt sterk, afhankelijk van waar en hoe de geïsoleerde omgeving draait.

Sandboxing versus virtuele machines en containers

Sandboxen, virtuele machines en containers bieden allemaal isolatie, maar dienen verschillende doelen en hanteren verschillende grenzen.

Een virtuele machine emuleert een volledige hardwareomgeving en draait een eigen OS-kernel, stuurprogramma's en gebruikersomgeving. VM's zijn algemene computeromgevingen voor het isoleren van workloads, ontwikkeltests en serverconsolidatie. Ze zijn niet ontworpen om te beperken wat software binnen de VM kan doen. Een schadelijke payload die in een VM wordt uitgevoerd, heeft volledige toegang tot het gastbesturingssysteem. De VM zelf bewaakt het gedrag van de payload niet en rapporteert er niet over.

Een container deelt de OS-kernel van de host, maar isoleert processen met namespaces en control groups. Containers zijn bedoeld om applicaties efficiënt te verpakken en uit te rollen. Ze starten sneller en verbruiken minder resources dan VM's, maar bieden minder sterke isolatie omdat ze voor systeemaanroepen afhankelijk zijn van de hostkernel.

Een sandbox is specifiek gebouwd voor beveiligingsanalyse. Hij beperkt welke bewerkingen een proces kan uitvoeren, bewaakt elke actie en levert een gestructureerd gedragsrapport op. Sandboxen kunnen binnen VM's of containers draaien, of als zelfstandige isolatiemechanismen op applicatieniveau. Het onderscheid zit in het doel: sandboxen observeren en beperken niet-vertrouwde code, terwijl VM's en containers workloads uitvoeren.

In de praktijk werken deze technologieën samen. Veel zakelijke sandboxes gebruiken hypervisor-gebaseerde VM's als omgeving voor het uitvoeren van malware om sterke isolatie te bereiken. Containergebaseerde sandboxes verwerken grote aantallen samples voor een eerste beoordeling wanneer snelheid belangrijker is dan volledige hardware-emulatie. De juiste keuze hangt af van uw dreigingsmodel en vereisten voor verwerkingscapaciteit.

Soorten sandboxes

Niet alle sandboxes werken op dezelfde manier. De gekozen implementatie beïnvloedt de getrouwheid, prestaties en soorten dreigingen die u kunt detecteren. De belangrijkste soorten verschillen in waar en hoe de geïsoleerde omgeving draait:

• Cloudgebaseerde sandboxes voeren malware uit in een door de leverancier gehoste omgeving. Ze zijn snel inzetbaar, schalen op aanvraag en vereisen geen lokale infrastructuur. Daar staat beperkte aanpasbaarheid tegenover: omdat de omgeving uw werkelijke endpointconfiguratie niet weerspiegelt, kan omgevingsbewuste malware zijn gedrag onderdrukken. SANS ISC noemt dit een oorzaak van fout-negatieve resultaten bij gerichte dreigingen.
• Lokale sandboxes draaien in uw eigen datacenter of van internet geïsoleerde netwerk. Ze kunnen uw exacte OS-builds, geïnstalleerde software en netwerktopologie nabootsen. Dat verbetert de getrouwheid bij aanvallers die hun doelwitten identificeren voordat ze malware uitvoeren. De keerzijde is meer onderhoud en beperkte schaalbaarheid.
• Hypervisorgebaseerde sandboxes gebruiken volledige virtuele machines om de uitvoering te isoleren. Dit biedt sterke isolatie en realistisch OS-gedrag, maar VM's laten herkenbare sporen achter (registersleutels, BIOS-strings, afwijkingen in timing) waarop malware regelmatig controleert. MITRE T1497.001 beschrijft deze identificatietechnieken.
• Containergebaseerde sandboxes gebruiken isolatie op OS-niveau in plaats van volledige hardware-emulatie. Containers zijn lichter en sneller op te starten, waardoor ze efficiënt zijn voor de eerste beoordeling van grote aantallen samples. Ze delen echter de kernel van de host, wat de isolatie verzwakt ten opzichte van hypervisorgebaseerde methoden.

De juiste keuze hangt af van uw dreigingsmodel. Voor het screenen van grote aantallen e-mails is de snelheid van cloud- of containergebaseerde sandboxes gunstig; onderzoek naar gerichte dreigingen profiteert van de getrouwheid van lokale sandboxes. Ongeacht de implementatie gebruikt elke sandbox dezelfde twee kernmethoden om te analyseren wat een sample doet.

Statische en dynamische sandboxanalyse

De afwegingen tussen statische en dynamische analyse bepalen hoe u een efficiënte sandboxpipeline ontwerpt.

Het hybride model waarop professionals vertrouwen, gebruikt eerst statische analyse voor snelle classificatie en reserveert dynamische analyse voor samples die statische screening niet kan beoordelen. Academisch onderzoek bevestigt deze aanpak als de praktische standaard: voor API-aanroepen en opcodereeksen zijn volledig dynamische strategieën doorgaans het effectiefst, maar kostenbeperkingen vereisen hybride ontwerpen.

Bij een effectieve inzet biedt deze combinatie van analysemethoden en sandboxinfrastructuur beveiligingsteams verschillende concrete voordelen.

Belangrijkste voordelen van sandboxing

Sandboxing biedt waarde in meerdere fasen van de beveiligingscyclus, van screening vóór uitvoering tot forensisch onderzoek na een incident. De belangrijkste voordelen zijn de veilige analyse van onbekende dreigingen en het opleveren van gestructureerde dreigingsinformatie.

• Identificatie van zero-day- en onbekende dreigingen: Met sandboxing voert u bestanden die nog in geen enkele handtekeningendatabase voorkomen veilig uit en herkent u nieuwe malware aan waargenomen gedrag in plaats van bestaande kennis.
• Veilige uitvoering zonder risico voor productieomgevingen: De door NIST gedocumenteerde isolatie zorgt ervoor dat malware, zelfs wanneer die volledig wordt uitgevoerd, geen toegang krijgt tot productiesystemen, andere endpoints of gevoelige gegevens.
• Gestructureerd gedragsbewijs voor incidentrespons: Dynamische analyse levert concrete forensische artefacten op: reeksen API-aanroepen, netwerkverbindingen en registerwijzigingen. Die vormen bruikbaar bewijs voor uw incidentresponsproces, geen simpel ja-of-nee-oordeel.
• Efficiënte triage door statische voorselectie: Statische analyse als eerste stap vermindert de werkdruk voor analisten. Bekende varianten worden direct geclassificeerd. Uw analisten besteden tijd aan het uitvoeren van samples in de sandbox alleen wanneer dat echt nodig is.
• Terugkoppeling van dreigingsinformatie naar AI-modellen: Sandboxbeoordelingen van nieuwe samples leveren gedragssignaturen op die worden teruggekoppeld naar Behavioral AI-modellen. Zo kunnen vergelijkbare gedragspatronen later worden herkend zonder de samples opnieuw uit te voeren.
• Dekking gedurende de hele incidentresponscyclus: Sandboxing draagt bij aan zowel preventie als analyse. U gebruikt het proactief om binnenkomende bestanden te screenen en reactief om artefacten te onderzoeken die tijdens incidentrespons zijn verzameld.

Deze voordelen zijn reëel, maar er zijn beperkingen die u moet begrijpen voordat u op sandboxbeoordelingen vertrouwt.

Beperkingen van sandboxing

Sandboxing heeft structurele beperkingen die geen enkele configuratie of leverancierskeuze volledig kan wegnemen. Aanvallers buiten deze tekortkomingen actief uit. Daarom is het net zo belangrijk te weten waar sandboxing tekortschiet als waar het uitblinkt.

• Beperkte analysetijd: De tijd voor uitvoering in een sandbox is beperkt. Aanvallers weten dat. SUNBURST, de payload achter de SolarWinds-supplychainaanval, bleef langer inactief dan de gebruikelijke analysetijd in een sandbox. Volgens MITRE T1497.003 is tijdgebaseerde ontwijking een gedocumenteerde aanvalstechniek.
• Afhankelijkheid van menselijke interactie: MITRE ATT&CK stelt dat ontwijking op basis van gebruikersactiviteit "niet gemakkelijk met preventieve controles kan worden gestopt, omdat hierbij misbruik wordt gemaakt van systeemfuncties." Sandboxes kunnen zich niet door dialoogvensters klikken, CAPTCHA's oplossen of authentiek menselijk gedrag simuleren. Van FIN7 is gedocumenteerd dat de groep vereisten voor gebruikersinteractie inzet om geautomatiseerde analyse te vermijden.
• Herkenbare kenmerken van sandboxes: Virtuele omgevingen verraden zich door herkenbare kenmerken, zoals verschillen in timing, registervermeldingen, MAC-adressen en CPU-artefacten. Malwarefamilies zoals RogueRobin vergelijken BIOS-versiestrings met bekende VM-identificaties. OopsIE vraagt de temperatuur van thermische CPU-zones op, waarvoor virtuele omgevingen geen realistische waarden kunnen nabootsen.
• Blinde vlekken voor bestandsloze dreigingen: Traditionele sandboxes vereisen een bestand dat kan worden uitgevoerd. Bestandsloze malware die volledig in het geheugen via legitieme processen wordt uitgevoerd, laat geen afzonderlijk bestand achter voor sandboxanalyse. Bij DLL side-loading wordt schadelijke code via toegestane applicaties uitgevoerd, waardoor op bestanden gebaseerde sandboxanalyse helemaal niet wordt gestart.
• De fundamentele wapenwedloop: Academisch onderzoek beschrijft het omzeilen van sandboxes als een wapenwedloop rond ontwijking. Elke tegenmaatregel leidt tot nieuwe ontwijkingstechnieken. Dit is een structurele eigenschap van de aanpak, geen configuratieprobleem.

Deze beperkingen worden uitbuitbare kwetsbaarheden wanneer aanvallers ze combineren met doelgerichte ontwijkingstechnieken.

Technieken om sandboxes te omzeilen

MITRE ATT&CK classificeert het omzeilen van sandboxes onder T1497 sandbox-omzeiling, met drie subtechnieken.

• Systeemcontroles (T1497.001): Malware controleert registersleutels, BIOS-tekenreeksen, proceslijsten, MAC-adressen en hardwarekenmerken om virtuele omgevingen te herkennen. Bumblebee zoekt naar bestandspaden en registersleutels van verschillende virtualisatieproducten. DarkTortilla doorzoekt actieve processen op signaturen van Hyper-V, QEMU, Virtual PC, VirtualBox, VMware en Sandboxie.
• Controles op gebruikersactiviteit (T1497.002): Aanvallers controleren of er een echte gebruiker aanwezig is. De loader van Okrum vereist herhaalde gebruikersinvoer voordat hij zijn payload uitvoert.
• Tijdgebaseerde ontwijking (T1497.003): Het installatieprogramma van GoldenSpy stelt de installatie uit. EvilBunny meet de tijd via verschillende API's vóór en na slaapoperaties en breekt af als verschillen op een sandbox wijzen.

Naast T1497 gebruiken aanvallers DLL side-loading om code via toegestane applicaties uit te voeren, zonder een bestand achter te laten dat kan worden gescand. Deze ontwijkingsmethoden onderstrepen het belang van bewuste architectuurkeuzes bij de inzet van sandboxinfrastructuur.

Best practices voor sandboxing

Met de volgende werkwijzen haalt u meer uit uw sandboxes, rekening houdend met de hierboven besproken ontwijkingstechnieken en structurele beperkingen.

Gebruik statische analyse als voorfilter

Gebruik statische analyse eerst om samples te beoordelen. Stuur alleen samples waarover nog geen uitsluitsel is naar dynamische detonatie. Zonder dit voorfilter wordt dynamische analyse een knelpunt. Onder druk analyseren teams samples dan minder grondig of slaan ze de analyse helemaal over. Statische screening houdt capaciteit voor diepgaande analyse beschikbaar voor de samples die deze echt nodig hebben.

Geef bij waardevolle doelwitten prioriteit aan een realistische omgeving

Zet bij gerichte aanvallen lokale sandboxes in die de tools, softwarestack en netwerkconfiguratie van uw organisatie nabootsen. Generieke cloudsandboxes zijn sneller, maar minder betrouwbaar bij dreigingen die hun omgeving herkennen.

Integreer sandboxresultaten in uw SIEM- en SOAR-workflows

Koppel gedragsoordelen aan correlatieregels, responsplaybooks en trainingspijplijnen voor Behavioral AI. Sandboxes die alleen losse rapporten produceren en hun oordelen niet doorgeven aan uw bredere analysesystemen, verspillen analysecapaciteit. Gebruik sandboxresultaten als gestructureerde input voor uw operationele processen, niet als op zichzelf staande PDF-rapporten.

Combineer sandboxing met Behavioral AI en EDR

De SANS-controles schrijven voor dat endpointbeveiliging ook bescherming tegen zero-day-dreigingen via netwerkgedragsheuristieken omvat, en niet alleen sandboxdetonatie. Behavioral AI ondervangt beperkingen rond vertraging en ontwijking. Sandboxing biedt diepgaande analyse van nieuwe samples. Door beide binnen een EDR-platform te combineren, krijgt u betere dekking dan met elk afzonderlijk.

Werk sandboxomgevingen regelmatig bij

Verouderde omgevingen met bekende VM-kenmerken zijn gemakkelijker te herkennen. Verwijder regelmatig herkenbare hypervisorsignaturen, bekende procesnamen en veelzeggende registersleutels.

Ook met deze werkwijzen levert sandboxing de meeste waarde op in de juiste operationele scenario's.

Veelvoorkomende toepassingen van sandboxing

Sandboxing is inzetbaar op meerdere momenten in uw beveiligingsprocessen, van proactieve screening tot forensisch onderzoek na een inbreuk. In de volgende toepassingen levert sandboxanalyse het meeste op.

• Screening van e-mailbijlagen en URL's: E-mail blijft de belangrijkste verspreidingsroute voor malware. Sandboxes die met uw e-mailgateway zijn geïntegreerd, detoneren bijlagen en ingesloten URL's voordat ze de inbox van gebruikers bereiken. Als een sample tijdens detonatie schadelijk gedrag vertoont, plaatst de gateway het bericht in quarantaine en stuurt het gedragsrapport door naar uw SOC voor beoordeling.
• Analyse van zero-day-malware: Als uw handtekeningdatabases en IOC-feeds geen overeenkomsten opleveren, is de sandbox uw eerste analysestap voor onbekende samples. Detonatie van een vermoedelijke zero-day in een gecontroleerde omgeving levert het gedragsprofiel op waarmee u indicatoren opstelt, correlatieregels schrijft en dreigingsinformatie verspreidt naar de rest van uw beveiligingsstack.
• Incidentrespons en forensisch onderzoek: Tijdens actieve incidentrespons verzamelt uw team verdachte artefacten van gecompromitteerde endpoints, geheugendumps en netwerkopnamen. Door deze artefacten in een sandbox te analyseren, krijgt u gestructureerde gedragsgegevens die aansluiten op MITRE ATT&CK-technieken. Zo versnelt u de analyse van de hoofdoorzaak en bepaalt u de volledige omvang van de compromittering.
• Validatie van software en patches: Beveiligingsteams gebruiken sandboxes om software van derden, patches en updates te valideren voordat ze die in productie uitrollen. Door nieuwe binaire bestanden in een geïsoleerde omgeving uit te voeren, ontdekken ze onverwacht gedrag, zoals uitgaande netwerkverbindingen, pogingen tot priviligeverhoging of ongeautoriseerde toegang tot het bestandssysteem, voordat dit gedrag productie-endpoints bereikt.
• Verrijking van dreigingsinformatie: Sandboxrapporten na detonatie leveren gestructureerde IOCs, gedragssignaturen en techniektoewijzingen die rechtstreeks naar uw dreigingsinformatie platform gaan. Na verloop van tijd ontstaat zo een interne kennisbank over de bedreigingen die specifiek op uw organisatie zijn gericht. Die verrijkt uw SIEM-correlatieregels en ondersteunt proactieve dreigingsjacht.

Deze toepassingen laten zien waar sandboxing past in een gelaagd verdedigingsmodel. Sommige bedreigingen blijven buiten het analysevenster van de sandbox. Door sandboxanalyse te combineren met Behavioral AI die endpoints in realtime bewaakt, dichten organisaties de resterende gaten.

Stop onbekende bedreigingen met SentinelOne

De Singularity Platform gebruikt twee analysemethoden: vóór uitvoering en in realtime. Zo dicht het platform de gaten die sandboxdetonatie alleen niet afdekt.

• Statische AI scant bestanden vóór uitvoering en herkent kwaadaardige bedoelingen zodra ze binnenkomen. 
• Behavioral AI volgt procesrelaties in realtime op het actieve endpoint en herkent bestandsloze malware en zero-day-exploits terwijl ze worden uitgevoerd. Samen analyseren de twee AI-methoden endpointgebeurtenissen en brengen ze bedreigingen aan het licht die methoden op basis van signaturen en sandboxing missen.

Wanneer de gedragsanalyse een afwijking ontdekt, reageert Singularity Complete autonoom: het beëindigt ongeautoriseerde processen, plaatst kwaadaardige bestanden in quarantaine en voert 1-Click Rollback uit om schade ongedaan te maken. De gepatenteerde Storyline-technologie biedt volledige forensische context zonder handmatige correlatie tussen afzonderlijke tools. 

Singularity™ Binary Vault automatiseert het uploaden van kwaadaardige en onschadelijke bestanden, forensische analyse en integratie met beveiligingstools. U kunt verzamelde uitvoerbare bestanden controleren op ongewenste en ongeautoriseerde functies die onnodige risico's meebrengen. Pas uw beveiliging aan met zelf te definiëren uitzonderingen voor bestandstypen en paden. Stroomlijn gegevensbewaring, workflows, analyses en meer. Het ondersteunt ook sandboxomgevingen en is een uitbreiding voor Singularity™ Endpoint. Bekijk de rondleiding.

Purple AI ondersteunt dreigingsonderzoek door natuurlijke taal om te zetten in gestructureerde zoekopdrachten. Organisaties die Purple AI gebruiken, melden dat ze bedreigingen 63% sneller identificeren en hun gemiddelde responstijd met 55% verkorten (IDC Business Value Report). AI SIEM verwerkt beveiligingsgegevens volgens benchmarks van SentinelOne 100x sneller dan traditionele SIEM-platforms.

In de MITRE ATT&CK Evaluations van 2024 genereerde SentinelOne 88% minder meldingen dan de mediaan, met 100% detectie en zonder vertraging (MITRE ATT&CK Evaluations). SentinelOne staat al vijf jaar als Leader in het Gartner Magic Quadrant voor Endpoint Protection Platforms (2025) en werd in de Frost Radar voor Endpoint Security 2025 uitgeroepen tot de best presterende leverancier.

Vraag een SentinelOne-demo aan en ontdek hoe autonome Behavioral AI de bedreigingen stopt die sandboxanalyse alleen mist.

Bescherm uw eindpunt

Bekijk hoe AI-aangedreven endpointbeveiliging van SentinelOne u kan helpen cyberbedreigingen in realtime te voorkomen, te detecteren en erop te reageren.

Vraag een demo aan

Belangrijkste inzichten

Sandboxing blijft waardevol om onbekende bestanden uit te voeren en inzicht in hun gedrag te krijgen. Ontwijkingstechnieken (tijdsvertraging, gebruikersactiviteit en herkenning van de omgeving) zijn echter uitgebreid gedocumenteerd in MITRE ATT&CK. Forrester plaatste zelfstandige sandboxing in de categorie Divest en Gartner beschouwt netwerksandboxing niet langer als een zelfstandige, actieve marktcategorie binnen Peer Insights. 

De sterkste verdediging combineert Behavioral AI op het actieve endpoint met diepgaande sandboxanalyse. Zo ontstaat een tweerichtingsstroom van dreigingsinformatie die bedreigingen opvangt die sandboxing alleen mist.