サンドボックス【sandbox】

概要

サンドボックス（sandbox）とは、砂場、砂箱という意味の英単語で、コンピュータの分野では、ソフトウェアの特殊な実行環境として用意された、外部へのアクセスが厳しく制限された領域のことを指すことが多い。

サンドボックスはシステム上に設けられた外部から隔離された領域で、通常と同じようにプログラムを実行することができる。ただし、通常は自由に行うことができるストレージ上のファイルやディレクトリの読み書き、外部とのネットワーク通信、実行中の他のプログラムとのデータのやり取り、内蔵装置や周辺機器の使用などを厳しく制限され、動作に必要な最低限を除いて禁止される（無効となる）。

これにより、コンピュータウイルスなどのマルウェアが仕込まれたプログラムがシステム上の他のプログラムやファイルなどへの感染や破壊、外部への漏洩などを試みても防ぐことができる。また、プログラムに不具合があり制御不能に陥っても、システムの他の部分に悪影響を及びすことなく安全に終了させることができる。

よく見られるのはセキュリティソフトの機能の一つとして提供されるもので、電子メールの添付ファイルなどとして外部から持ち込まれた出処不明なプログラムをサンドボックス内で起動して、マルウェアなどが含まれていないかを検証することができる。

既知の不正なプログラムに含まれるパターン（シグネチャ）を照合する方式やプログラムコードを解析して不正な挙動が含まれていないか確認する手法に比べ、実際に実行してみて挙動を確認することができる。通常の方法で検知されにくい、個別開発のマルウェアを用いた標的型攻撃への防御手法として特に有効であるとされる。

また、通常のソフトウェア実行環境としてサンドボックスを用いる場合もあり、例えばWebブラウザ上に表示されたWebページ内で実行されるJavaScriptやJavaアプレット、Flashなどのプログラムはそれぞれ固有のサンドボックス型の実行環境を持っており、外部との通信やローカルファイルへのアクセスなどが制限されている。

ソフトウェア開発では、ある開発途上の特定のバージョンをテストするために構築された一時的な実行環境をサンドボックスと呼ぶことがある。バージョン管理システムなどが用意するもので、本番環境などから隔離した専用の環境を用意して開発中のバージョンのテストを実施することができる。十分な検証が済んだらリポジトリへのマージ（統合）を行って本番環境へのリリースを行う。