在计算机领域，沙盒这一概念很早就用以表示一个能够让恶意代码运行其中的安全隔离环境，方便研究人员对恶意代码进行分析。同样的概念现在被网络安全设备用于执行和检查网络信息流，发现那些躲过了传统安全措施的恶意代码。

由于能够虚拟仿真整个操作系统，沙盒便可安全地执行可疑代码，以便观察其所作所为。包括文档/磁盘操作、网络连接、注册/系统配置修改等等在内的恶意行为因此暴露无遗，从而消除威胁。

为何必须采用沙盒技术

既然沙盒技术属于很早的技术，为什么又突然变得如此重要？因为当网络罪犯了解了更多普通的安全检测方法时，他们往往会将更多的投入放在安全规避方法的研发上。高级持续性威胁属于定制开发的针对性攻击。使用前所未见的恶意软件，它们可以避开直接检测利用薄弱点。这些威胁来自于全新的或看似安全的 URL 主机和 IP 地址。它们的目的是使用那些千方百计绕过安全屏障并尽可能长时间地潜伏在雷达下的高级代码技术来危害它们的目标系统。今天，不论是新式入侵威胁，或以全新方式伪装的旧有入侵威胁，沙盒技术都可以帮助我们发现威胁。

沙盒与恶意样本的对抗

沙盒技术的主要应用是准确地模拟恶意代码的行为。在理想情况下，沙盒中的输出应当与代码在某个终端用户环境中运行时的输出完全相同。实际上，由于所涉及的变量数量的关系，产生完全相同的结果是很困难的。……