Bac à sable d'exécution

Définition

Un bac à sable d'exécution, ou sandbox, est un environnement isolé et contrôlé dans lequel un fichier, un programme ou une URL suspecte est exécuté afin d'observer son comportement sans risque pour le système d'information de production. Utilisé massivement en cybersécurité pour l'analyse dynamique de malwares, le sandbox permet de détecter des menaces inconnues des bases de signatures traditionnelles en observant des indicateurs comportementaux : création de processus enfants, modifications du registre, connexions réseau vers des serveurs de commande et contrôle, tentatives de chiffrement de fichiers évoquant un rançongiciel, ou techniques d'évasion visant à détecter la présence d'un environnement virtualisé. Les solutions de messagerie sécurisée, les passerelles web et les pare-feux nouvelle génération intègrent fréquemment un moteur de sandboxing pour analyser les pièces jointes et téléchargements avant leur livraison à l'utilisateur final. Les malwares sophistiqués emploient des techniques d'anti-sandboxing référencées sous T1497 dans MITRE ATT&CK, comme la détection de délais d'exécution anormaux, la vérification du nombre de processeurs ou l'attente d'une interaction utilisateur avant de déclencher leur charge malveillante, afin de contourner l'analyse automatisée. Au-delà de la sécurité offensive, le principe du bac à sable s'applique également au développement logiciel, en isolant l'exécution de code non fiable, et à la recherche en cybersécurité pour l'étude approfondie d'échantillons malveillants en toute sécurité.