Ako često preuzimate programe, otvarate priloge e-pošte ili alate za testiranje iz sumnjivih izvora, imati sigurno i dostupno okruženje unutar Windowsa je praktično neophodno. Tu nastupa Windows Sandbox, funkcija ugrađena u Windows Professional izdanja koja vam omogućava pokretanje testova bez ugrožavanja vašeg glavnog sistema.
Pomoću Windows Sandboxa možete pokrenuti čisto, virtuelno i privremeno Windows okruženje za nekoliko sekundi , koristiti ga kao da je vaša vlastita radna površina i, nakon zatvaranja, potpuno izbrisati sve što se u njemu dogodilo. Nema ostataka softvera, nema konfiguracija, nema upornog zlonamjernog softvera: to je kao da počinjete s potpuno novim, nekorištenim sistemom svaki put kada ga otvorite.
Šta je Windows Sandbox i kako funkcioniše njegova izolacija?
Windows Sandbox, također poznat kao Windows Isolated Space (WSB) , je lagano desktop okruženje koje radi unutar vašeg vlastitog sistema koristeći hardversku virtualizaciju. U praktičnom smislu, slično je posjedovanju virtualne mašine, ali bez potrebe za instaliranjem dodatnog operativnog sistema ili rješavanjem složenih konfiguracija.
Ovo izolovano okruženje oslanja se na Microsoftov hipervizor i hardversku virtualizaciju kako bi izolovalo kernel . Drugim riječima, operativni sistem koji se izvršava unutar sandbox-a ima svoj vlastiti kernel, odvojen od vašeg glavnog Windows sistema, što drastično smanjuje mogućnost širenja zlonamjernog softvera na host.
Jedna od njegovih najvećih prednosti je što je to okruženje za jednokratnu upotrebu i kratkotrajno : svaki put kada ga otvorite, kreira se nova, čista instanca, kao da ste Windows instalirali od nule odmah. Čim zatvorite prozor, sve promjene, datoteke i postavke koje ste primijenili se odbacuju.
Softver instaliran na vašem glavnom sistemu se ne kopira automatski u sandbox . Sve što želite koristiti u izolovanom okruženju mora se eksplicitno instalirati tamo ili kopirati sa hosta pomoću međuspremnika ili određenih foldera. Ovo je dio procesa izolacije: ništa se ne dijeli osim ako vi to ne dozvolite.
Da bi se postiglo vrlo brzo vrijeme pokretanja i smanjila potrošnja resursa, Windows Sandbox koristi tehnike optimizacije memorije i minimalno okruženje . To nije teška virtualna mašina s desetinama gigabajta rezerviranog prostora na disku, već lagana instanca kreirana u hodu s maksimalno oko 4 GB memorije prema zadanim postavkama i virtualnom pohranom koja se ne pohranjuje.
Ključne karakteristike Windows Sandboxa
Jedna od najzanimljivijih stvari kod ove funkcije je to što je ugrađena u Windows Professional, tako da ne morate preuzimati ISO slike ili upravitelje virtualnih mašina trećih strana. Ako imate kompatibilno izdanje, sve što trebate učiniti je omogućiti funkciju i spremni ste.
Okruženje je potpuno čisto pri svakom pokretanju . Svaki put kada pokrenete Windows Sandbox, kreira se nova instalacija bez dodatnog softvera, bez ostataka prethodnih konfiguracija i bez prethodnih modifikacija. Savršeno je ako želite testirati program "kao da je prvi put", bez ikakvih biblioteka ili podataka koji bi mogli utjecati na ishod.
Još jedan ključni element je sigurnost. Izolacija se postiže kombinacijom virtualizacije, AppContainer-a (u zaštićenom klijentskom režimu) i strogim odvajanjem procesa, mreža, uređaja i akreditiva. Na ovaj način, čak i ako pokrenete zlonamjerni softver u sandboxu, šanse da utiče na host su minimalne.
Performanse su prilično dobre. Windows Sandbox se obično pokreće za samo nekoliko sekundi , koristi prednosti virtuelne grafičke kartice (vGPU) na x64 sistemima kada je omogućena i efikasno upravlja memorijom kako bi se izbjegla prekomjerna potrošnja resursa. Ne dostiže baš brzinu izvorne aplikacije, ali radi mnogo bolje od tradicionalne virtuelne mašine koja intenzivno koristi resurse.
Konačno, dizajniran je da bude jednostavan za korištenje svima, bez obzira na njihovu stručnost. Jednim klikom možete otvoriti potpuno novo okruženje za testiranje instalatora, posjetu sumnjivih web stranica ili pokretanje skripti. A ako imate više tehničkih vještina, možete ga fino podesiti pomoću .wsb konfiguracijskih datoteka.
Praktična upotreba izolacije sandboxa u Windowsu
Jedan od najčešćih slučajeva upotrebe je imati čisto okruženje za testiranje novog softvera . Programeri, tehničari za podršku ili napredni korisnici mogu instalirati beta verzije, probne verzije ili malo poznate programe bez "zatrpavanja" svog aktivnog sistema.
Također je vrlo praktično za sigurnije pregledavanje weba kada trebate pristupiti sumnjivim web stranicama, potencijalno opasnim preuzimanjima ili portalima kojima ne vjerujete. Otvorite Sandbox, pregledavate pomoću ugrađenog preglednika, a ako nešto pođe po zlu, jednostavno zatvorite prozor i sve nestaje.
Sandbox je posebno koristan prilikom otvaranja nepouzdanih priloga i izvršnih datoteka , kao što su dokumenti od nepoznatih pošiljatelja ili prenosivi uslužni programi preuzeti s foruma. Možete kopirati datoteku u sandbox, otvoriti je tamo i ako se ispostavi da je zlonamjerna, bit će zarobljena u tom okruženju.
Još jedan vrlo praktičan scenario je prvi kontakt s novim programima, dodacima ili ekstenzijama . Prije instaliranja nečega na vaš glavni Windows sistem, možete to testirati u Sandboxu, vidjeti kako se ponaša i odlučiti da li se isplati integrirati u vaše svakodnevno radno okruženje.
Konačno, mnogi programeri koriste prednosti sandboxinga kako bi održavali više, dobro odvojenih testnih okruženja . Na primjer, možete ga koristiti za testiranje različitih verzija Pythona s različitim ovisnostima ili različitim kombinacijama biblioteka i konfiguracija, bez potrebe za postavljanjem više trajnih virtualnih mašina.
Kompatibilna izdanja i licenciranje sustava Windows
Da biste koristili ovu funkciju, morate imati profesionalno ili obrazovno izdanje Windowsa . Windows Sandbox je dostupan u verzijama Windows Pro, Windows Enterprise, Windows Pro Education/SE i Windows Education, uključujući i njihove ekvivalentne verzije u Windowsu 11.
Licence koje daju pravo korištenja Windows Sandboxa uključuju Windows Pro i Pro Education/SE , kao i pretplate na Windows Enterprise E3 i E5 te obrazovna izdanja Windows Education A3 i A5. U praksi, ako je vaš računar došao s Pro verzijom ili se nalazite u korporativnom okruženju s Enterprise verzijom, trebali biste je moći aktivirati.
Ako koristite Windows Home, nećete moći izvorno aktivirati Windows Sandbox. U tim slučajevima, alternativa bi bila korištenje tradicionalnih rješenja za virtualizaciju (Hyper-V, VirtualBox, VMware, itd.), ali biste izgubili jednostavnu integraciju i mogućnost korištenja jednim klikom koju ova funkcija nudi.
Zahtjevi za hardver i virtualizaciju
Pored odgovarajućeg izdanja Windowsa, vaš računar mora ispunjavati niz minimalnih hardverskih i virtualizacijskih zahtjeva da bi izolacija Sandboxa radila ispravno i sigurno.
S jedne strane, potreban je 64-bitni procesor s podrškom za virtualizaciju i najmanje dvije fizičke jezgre ; Microsoft preporučuje četiri jezgre s hyperthreadingom za bolje performanse. U praksi, većina procesora izdanih posljednjih godina ispunjava ove zahtjeve bez problema.
Što se tiče memorije, sistemu je potrebno minimalno 4 GB RAM-a za pokretanje Windows Sandbox-a, iako se za glatko iskustvo preporučuje 8 GB ili više, posebno ako istovremeno radite s zahtjevnim aplikacijama na hostu i u izolovanom okruženju.
Što se tiče prostora za pohranu, potrebno je najmanje 1 GB slobodnog prostora na disku , idealno korištenje SSD-a za brže kreiranje i brisanje okruženja i glatkiji interni rad. Sandbox ne kreira tradicionalni trajni tvrdi disk, ali zahtijeva privremeni prostor.
Konačno, obavezno je da opcije virtualizacije budu omogućene u BIOS-u ili UEFI-ju vašeg računara (Intel VT-x/VT-d, AMD-V, itd.). Ovo je osnova koju Hyper-V koristi za kreiranje odvojenog hardverskog okruženja. Ako je virtualizacija onemogućena, Sandbox se neće pokrenuti.
Kako omogućiti virtualizaciju u BIOS-u
Da bi izolacija sandboxa bila efikasna, Windows se oslanja na Hyper-V i hardversku virtualizaciju CPU-a . Dok mnogi procesori imaju ovu funkciju omogućenu po defaultu, u drugim slučajevima je potrebno ručno omogućiti u BIOS-u ili UEFI-ju.
Tačan proces zavisi od proizvođača vaše matične ploče, ali generalno ćete morati pristupiti BIOS-u kada uključite računar , obično pritiskom na tipke poput Delete, F2, F10 ili F12 odmah pri pokretanju. Neki laptopi prikazuju poruku na ekranu koja pokazuje koju tipku treba koristiti.
Kada uđete unutra, trebali biste potražiti odjeljak koji se odnosi na CPU, naprednu sigurnost ili sistemske postavke , gdje ćete obično pronaći opciju virtualizacije. Tačan naziv varira: Virtualizacija, Intelova tehnologija virtualizacije, VT-x, VT-d, SVM, Proširenja načina rada monitora virtualnih mašina, Hyper-V, RVI, itd.
Kada pronađete tu opciju, provjerite je li omogućena. Sačuvajte promjene iz odgovarajućeg menija (Sačuvaj i izađi ili slično) i ponovo pokrenite računar kako bi virtualizacija postala aktivna na hardverskom nivou.
Imajte na umu da neki procesori integriraju virtualizaciju bez dopuštanja modifikacija iz BIOS-a, tako da nećete vidjeti nijednu opciju, ali će funkcionalnost već biti omogućena . U tim slučajevima, ako ispunjavate ostale zahtjeve, Windows Sandbox bi i dalje trebao raditi.
Kako aktivirati Windows Sandbox u Windowsu
Nakon što potvrdite da je vaše Windows izdanje kompatibilno i da je virtualizacija spremna, sljedeći korak je aktiviranje funkcije Windows Sandbox , jer je ona u sistemu podrazumevano onemogućena.
Da biste to uradili, otvorite traku za pretragu u Windowsu i počnite kucati "Uključivanje ili isključivanje funkcija Windowsa". Kada se pojavi rezultat, kliknite na njega i otvoriće se prozor sa listom opcionalnih sistemskih funkcija koje možete omogućiti ili onemogućiti.
Unutar te liste pronađite stavku "Windows Sandbox" . Označite polje s lijeve strane i potvrdite promjene. Windows će preuzeti i konfigurirati potrebne komponente; ovaj proces može potrajati nekoliko minuta, ovisno o brzini vašeg računara.
Nakon instalacije, sistem će vas zatražiti da ponovo pokrenete računar kako biste primijenili novu funkciju. Prihvatite ponovno pokretanje i kada se računar ponovo pokrene, Windows Sandbox će biti dostupan među vašim aplikacijama.
Od tog trenutka nadalje, jednostavno pretražite "Windows Sandbox" u meniju Start ili polju za pretragu da biste pokrenuli sandbox. Vidjet ćete otvoren prozor sa čistom radnom površinom Windowsa, odvojenom od vaše.
Zadane postavke izolacije sandboxa
Ako pokrenete Windows Sandbox bez ikakvih prilagođenih konfiguracijskih datoteka, okruženje se kreira sa zadanim postavkama dizajniranim da uravnoteže sigurnost i jednostavnost korištenja . Ograničenje memorije je postavljeno na 4 GB, a omogućene su i određene osnovne integracije hosta.
Na sistemima koji nisu ARM x64, virtuelni GPU (vGPU) je obično omogućen po defaultu , što vam omogućava da iskoristite prednosti grafičkog ubrzanja host sistema unutar sandbox-a. Ovo poboljšava performanse interfejsa i nekih aplikacija, iako neznatno povećava površinu za napad.
Na nivou mreže, Sandbox počinje sa omogućenom vezom putem virtuelnog Hyper-V prekidača i pridružene virtuelne mrežne kartice (NIC). Ovo vam omogućava da pretražujete internet, preuzimate instalacione programe ili pristupate online resursima direktno iz izolovanog okruženja.
Audio ulaz (mikrofon) je obično omogućen, što omogućava internim aplikacijama da snimaju zvuk sa hosta ako je potrebno. Međutim, video ulaz (kamera) je onemogućen kako bi se spriječilo da aplikacije unutar sandbox-a pristupaju web kameri računara bez autorizacije.
Iz sigurnosnih razloga, preusmjeravanje štampača ostaje onemogućeno, dok je dijeljeni međuspremnik omogućen . Ovo vam omogućava da jednostavno kopirate i lijepite tekst i datoteke između vašeg redovnog Windows sistema i sandbox okruženja.
.wsb datoteke: napredne postavke izolacije
Ako želite ići korak dalje, Windows Sandbox podržava konfiguracijske datoteke s ekstenzijom .wsb , napisane u jednostavnom XML formatu. Ove datoteke vam omogućavaju da prilagodite ponašanje sandbox okruženja bez potrebe za diranjem naprednih internih sistemskih postavki.
Osnovna .wsb datoteka se sastoji od korijenske oznake i njegovo zatvaranje Ove postavke uključuju različite konfiguracijske blokove. Između ostalog, možete kontrolirati korištenje vGPU-a, mrežu, dijeljene mape, naredbe za pokretanje, zvuk, video, poboljšanu sigurnost, pisače, međuspremnik i dodijeljenu memoriju.
Da biste ga kreirali, jednostavno otvorite običan tekstualni editor kao što je Notepad ili Visual Studio Code , napišite konfiguracijsku strukturu koja vam je potrebna i sačuvajte dokument s ekstenzijom .wsb (na primjer, "MySandbox.wsb"). Važno je da prilikom spremanja u Notepadu naziv stavite pod navodnike kako bi se poštovala ekstenzija.
Kada želite pokrenuti sandbox sa tom specifičnom konfiguracijom, jednostavno dvaput kliknite na .wsb datoteku . Windows će otvoriti izolirano okruženje primjenjujući sve parametre koje ste definirali u datoteci. Također ga možete pokrenuti iz komandne linije unosom putanje do datoteke.
Ovaj sistem olakšava korištenje nekoliko "šablona" izolovanih prostora, na primjer jednog s onemogućenom mrežom i mapom za preuzimanje samo za čitanje, drugog s više memorije za zahtjevno testiranje ili trećeg sa skriptom za pokretanje koja automatizira instalaciju softvera svaki put.
Najvažnije opcije konfiguracije
Jedan od ključnih elemenata .wsb datoteke je direktiva <vGPU>, koja vam omogućava da omogućite ili onemogućite virtualizirani GPU . Korištenje direktive "Omogući" daje Sandboxu pristup grafičkom ubrzanju hosta, dok "Onemogući" prisiljava korištenje softverskog renderiranja (WARP), što je sigurnije, ali generalno sporije.
Oznaka <Networking> kontrolira ponašanje mreže. "Enable" dodjeljuje punu povezanost; "Disable" stvara potpuno nepovezano okruženje, idealno za pokretanje zlonamjernog softvera koji pokušava komunicirati s vanjskim svijetom; a "Default" primjenjuje standardnu konfiguraciju, koja omogućava umrežavanje putem virtualnog Hyper-V prekidača.
Kroz Možete odrediti kolekciju host foldera koji će se dijeliti sa sandboxom. Svaki uključuje putanju na hostu ( ), odredišna mapa unutar Sandboxa ( ) i, opcionalno, oznaka da biste uspostavili pristup samo za čitanje ili za čitanje/pisanje.
Pomoću `<LogonCommand>` i `<Command>` možete definirati naredbu ili skriptu koja se automatski pokreće kada se prijavite u Sandbox. Ovo je vrlo korisno za pokretanje instalatora, konfiguracijskih skripti ili alata za testiranje bez potrebe da to radite ručno pri svakom pokretanju.
Osim toga, imate opcije za upravljanje audio ulazom ( ), video ( ), zaštićeni klijentski način rada ( ), preusmjeravanje štampača ( ) i međuspremnik ( ), čime se prilagođava ravnoteža između udobnosti i izolacije prema vašim potrebama u svakom scenariju.
Prilagodite memoriju i resurse Sandboxa
Oznaka <MemoryInMB> vam omogućava da odredite količinu RAM-a koju sandbox može koristiti , izraženu u megabajtima. Na primjer, 4096 za 4 GB, 8192 za 8 GB, 12288 za 12 GB ili 16384 za 16 GB, pod uslovom da vaš hardver ima dovoljno memorije.
Ako postavite vrijednost koja je preniska za pokretanje Sandboxa, Windows će je automatski povećati na minimalni potreban iznos, koji je obično 2048 MB . Uprkos tome, preporučljivo je da ne postavljate prenisku vrijednost kako biste izbjegli kašnjenje pri pokretanju aplikacija koje intenzivno koriste resurse.
Imajte na umu da se memorija dodijeljena Sandboxu privremeno oduzima od dostupne memorije hosta, pa je preporučljivo prilagoditi vrijednost na osnovu stvarno instalirane RAM memorije . Na računaru sa 8 GB, na primjer, možda bi imalo smisla dodijeliti 4096 MB kako bi se izbjeglo preopterećenje glavnog sistema.
Kombiniranje Pomoću vGPU-a i konfiguracije mreže možete kreirati različite profile korištenja: od laganog i ultra sigurnog okruženja, s onemogućenom mrežom i GPU-om, do moćnog Sandbox-a s mnogo resursa rezerviranih za zahtjevne testove.
Ovaj nivo kontrole čini Windows Sandbox prilično fleksibilnim alatom, sposobnim da se prilagodi i korisnicima koji žele samo brzi "sandbox" i profesionalcima kojima je potrebno da reprodukuju vrlo specifična testna okruženja.
Zahvaljujući ovom pristupu, Windows Sandbox je postao jedan od najlakših načina za postavljanje stvarne izolacije za testiranje u Windowsu , kombinujući praktičnost integracije u sistem sa robusnošću hardverske izolacije i fleksibilnošću .wsb konfiguracijskih datoteka.
