SandBox คืออะไร และทำงานอย่างไร?
SandBox (กล่องทราย) คือ สภาพแวดล้อมที่แยกออกจากระบบหลัก (Isolated Environment) ใช้สำหรับ รัน, สังเกต, และวิเคราะห์โค้ด/ไฟล์ที่น่าสงสัย โดยพิจารณาจาก พฤติกรรม (Behavior) ไม่ใช่แค่ลายเซ็น (Signature) รองรับ: รัน Executable, จำลอง Network Traffic, ซ่อน Malware ที่ซ่อนตัวได้
SandBox ใช้ทำอะไร?
- รันโค้ด/ไฟล์น่าสงสัย อย่างปลอดภัย ไม่เสี่ยงระบบจริง (Host/Network)
- ตรวจจับ Zero-day Threats, Advanced Persistent Threats (APT), Fileless Malware ที่ Antivirus แบบเดิมจับไม่ได้
- เป็นชั้นป้องกันเพิ่มเติม (Layered Defense)
SandBox Process (ในมุมมอง OS - Android/Linux)
แต่ละแอป/โปรเซสรันใน User ID (UID) แยกกัน ไฟล์และหน่วยความจำถูกแยก (UNIX-style Permission) ป้องกันแอปร้ายแพร่กระจาย
Internet Sandbox (Browser Sandbox)
Chrome, Firefox, Edge ใช้ Sandbox แยก Tab/Process: จำกัดสิทธิ์เข้าถึง File System, Registry, Hardware ป้องกันเว็บไซต์ร้ายติดตั้งมัลแวร์/ขโมยข้อมูล
SandBox ใน Network Security (Cybersecurity Sandbox)
จำลองสภาพแวดล้อมผู้ใช้ (OS, Apps, Network) แบบ Isolated เพื่อรันไฟล์/URL น่าสงสัย -> สังเกตพฤติกรรม (File Drop, Registry Change, Network Calls, Process Injection) -> ให้คะแนนความเสี่ยง
SandBox ถูกแฮกได้ไหม?
ได้** แฮกเกอร์พัฒนาวิธีหลบ Sandbox (Sandbox Evasion):
- Environment Detection: ตรวจสอบ VM Artifacts, Mouse Movement, Sleep Timing
- Delayed Execution: รอจนกว่า Sandbox จะ Timeout (มัก 2-5 นาที)
- Encrypted/Packed Payload: ซ่อนโค้ดร้ายในไฟล์เข้ารหัส/บีบอัด
- Living-off-the-land: ใช้เครื่องมือระบบ (PowerShell, WMI) แทนไฟล์ Executable
-> ต้องใช้ Advanced Sandbox (Full System Emulation, Longer Runtime, Hardware-assisted)
SandBox เป็นไวรัสไหม?
ไม่** เป็น Framework/Platform สำหรับ Dynamic Malware Analysis รันออบเจกต์ใน VM (Full OS) วิเคราะห์พฤติกรรมผิดกฎหมาย
SandBox ในบริบทธุรกิจ (Regulatory Sandbox)
สภาพแวดล้อมควบคุมที่ผ่อนคลายกฎระเบียบ เพื่อทดสอบนวัตกรรม FinTech, HealthTech, AI ภายใต้การกำกับดูแล (เช่น Bank of Thailand Sandbox)
SandBox ใน IT Terms (ทั่วไป)
สภาพแวดล้อมควบคุมสำหรับรัน Untrusted Applications ให้สิทธิ์ขั้นต่ำ (Least Privilege) ห้ามเข้าถึง File System/Network โดยตรง
SandBox Concept (แนวคิด)
VM แยกต่างหาก สำหรับทดสอบโค้ดอันตราย/ใหม่ ก่อน Deploy จริง ใช้ทั้ง Cybersecurity และ Software Development (Testing/Staging)
ทำไมเรียกว่า SandBox?
มาจาก Sandpit (สนามทรายเด็กเล่น) สหรัฐเรียก Sandbox อังกฤษเรียก Sandpit เด็กเล่นทรายในกล่อง -> ทดลองทำอะไรก็ได้ ไม่ส่งผลนอกกล่อง
Browser Sandbox ทำงานอย่างไร?
Chrome Intercept Access Tokens ของ Process -> จำกัดสิทธิ์ (Low Integrity Level) ป้องกัน: ติดตั้งมัลแวร์, ขโมยข้อมูล, เข้าถึงไฟล์ระบบ
SandBox เรียกอีกอย่างว่าอะไร?
Test Server, Development Server, Working Directory, Staging Environment
