Lastet ned en.exe fra en upålitelig kilde og er redd for å kjøre den? Eller trenger du å åpne en mistenkelig lenke, men nettleseren er et vindu inn til hovedsystemet ditt med alle passord og filer? Alle som administrerer en Windows-maskin havner før eller siden i dette dilemmaet. Antivirusprogramvare fanger ikke opp alt, og en virtuell maskin er en tungvint løsning for bare én fil.

Det er her en sandkasse kommer inn: et isolert miljø der et program kjører normalt, men ikke kan røre det ekte systemet. Siden 2020 har det beste verktøyet for dette på Windows vært Sandboxie, som ble åpen kildekode og fikk nytt liv.

💡 Rask oversikt:

• Last ned Sandboxie Plus fra det offisielle nettstedet og installer det; isolasjonsdriveren integreres i systemet på et par minutter.
• Start en nettleser eller et hvilket som helst program via kontekstmenyen «Kjør sandboxed»; vinduet vises med et [#]-prefiks i tittelen.
• Bekreft isolasjon: last ned en testfil inne i sandkassen, lukk programmet og legg merke til at den ikke finnes på den ekte disken.
• Om nødvendig, gjenopprett filen via «Quick Recovery», velg målmappen og bekreft overføringen.

Hva Sandboxie er og hvor det kommer fra

Sandboxie oppretter et isolert driftsmiljø oppå Windows. Inni det ser programmer sin egen kopi av registeret og filsystemet, men det ekte registeret og disken forblir urørt. Lukk programmet, så forsvinner alle endringer.

Prosjektet har en lang historie. Den opprinnelige forfatteren Ronen Tzur skrev den første versjonen tilbake i 2004. Senere kjøpte Invincea produktet, deretter overtok Sophos det. I 2017 integrerte Sophos Sandboxie i sin bedriftspakke, og i 2020 kunngjorde de slutten på utviklingen og frigav kildekoden under GPLv3-lisensen.

Siden den gang har David Xanatos ledet prosjektet, og han har virkelig blåst nytt liv i Sandboxie. I dag er to versjoner tilgjengelige:

• Sandboxie Plus, et moderne bygg med et Qt-grensesnitt, nye funksjoner og aktiv utvikling (siste utgave 1.15.6, februar 2025).
• Sandboxie Classic, det opprinnelige MFC-grensesnittet, uten nye muligheter, men på den samme utprøvde isolasjonskjernen.

På GitHub har prosjektet 18 600 stjerner og over 2 000 forgreninger; for et verktøy i denne klassen er det mye. Utviklingen fortsetter jevnt: Windows 11-støtte, ARM64-prosessorer, nye isolasjonsmoduser.

Installasjon og første oppstart

Installasjonen er enkel, men krever oppmerksomhet. Hovedkomponenten er Sandboxie-driveren, som fanger opp systemkall på kjernenivå og omdirigerer dem til det isolerte miljøet. På en testmaskin med Windows 10 Home installerte driveren seg uten konflikter med den innebygde Windows-beskyttelsen.

Ved første oppstart skanner Sandboxie installerte programmer og tilbyr å bruke kompatibilitetsmaler for nettlesere, e-postklienter og annen programvare. Ikke avslå; malene sparer oppsetts tid, og du kan fjerne unødvendige senere.

Rett etter veiviseren dukker det opp en snarvei merket «Sandboxie, Default Browser» på skrivebordet. Dette er DefaultBox-sandkassen med en forhåndskonfigurert profil for nettleseren din.

Grensesnitt og grunnleggende bruk

Hovedprogramvinduet ligner Oppgavebehandling. Til venstre er en liste over sandkasser (containere), til høyre er prosesser som kjører i den valgte sandkassen. Alt er gruppert etter container: du kan opprette separate isolerte miljøer for nettleseren, e-post og mistenkelige filer.

Den viktigste visuelle indikatoren på at et program er sandkasset er [#]-prefikset i vindutittelen. I Firefox og de fleste klassiske programmer fungerer dette pålitelig. I Chrome er tittelen skjult, så det finnes ingen visuell markør; det kan bare identifiseres ved å holde musepekeren over vinduet på oppgavelinjen. I praksis kjenner vi igjen en sandkasset Chrome på fraværet av bokmerker og historikk fra den ekte profilen.

Du kan kjøre et hvilket som helst program i sandkassen: høyreklikk på en kjørbar fil eller snarvei → «Kjør sandboxed» → velg en container. Det er ingen begrensninger på programtyper; exe, msi og portable bygg fungerer alle på samme måte.

Hvordan filisolasjon fungerer

Nøkkelmekanismen: alt et program gjør inne i sandkassen forblir der. Last ned en fil gjennom den sandkassede nettleseren, så lagres den i det virtuelle filsystemet inne i containeren. Lukk nettleseren, så ryddes det virtuelle systemet opp; ingenting blir igjen på den ekte disken.

Men hva om du faktisk trenger filen? Det er det «Immediate Recovery» er til for. Når du prøver å lagre en fil til en av systemmappene (Nedlastinger, Dokumenter, Skrivebord), fanger Sandboxie opp operasjonen og tilbyr å gjenopprette den (det vil si kopiere den fra sandkassen til det ekte systemet).

Mekanismen er ikke den mest intuitive. Alternativet «Lukk» i gjenopprettingsdialogen avbryter ikke lagringen; filen forblir inne i sandkassen. «Gjenopprett» kopierer den ut. Etter at programmet er lukket, slettes ugjenopprettede filer. I praksis venner man seg til dette etter et par dagers aktiv bruk.

Oppstart via kontekstmenyen er det vanligste scenarioet i daglig arbeid. Du velger en container, og programmet starter i isolasjon uten ytterligere handlinger.

Fra et ytelsesmessig ståsted er det ingenting å utsette. I den sandkassebaserte Firefox og Chrome var det ingen merkbar hastighetsreduksjon, ingen konflikter med utvidelser og ingen problemer med videoavspilling. Overheaden ved isolering er minimal.

Finjustering: restriksjoner og tillatelser

Sandboxie-innstillingene er delt i to nivåer. Det første er hurtiginnstillinger for den aktuelle prosessen: ved å høyreklikke på en prosess i hovedvinduet kan du endre atferd for den økten. Det andre er globale innstillinger for hver sandkasse separat.

Globale innstillinger ligger dypere skjult enn man skulle ønske. De åpnes via «Sandbox»-menyen → «Sandbox Settings», og dette er en lang liste med faner: utseende, filgjenoppretting og -sletting, gruppering av programmer etter type, overføring av filer mellom miljøer.

Her definerer du mapper som «Immediate Recovery» skal utløses for, og atferd når programmer inne i sandkassen lukkes.

Gruppering lar deg kombinere nettlesere på samme motor eller alle kontorprogrammer under ett enkelt regelsett, slik at du slipper å konfigurere hver enkelt separat.

Overføring av filer mellom sandkasser er nyttig når du har flere containere og trenger å sende data fra én til en annen uten å gå via det virkelige systemet.

Filsystemrestriksjoner styrer hvilke mapper den isolerte applikasjonen har tilgang til, og hvilke som er fullstendig skjult.

Merk: enkelte parametere er beskrevet gjennom negasjoner («ikke blokker», «ikke forby»). Dette er en arv fra den gamle konfigurasjonstilnærmingen og er forvirrende. Du må snu logikken mentalt for å forstå hva som vil skje når du aktiverer et alternativ.

Deretter kommer en virkelig lavnivå-seksjon, tilgangsrettigheter. Her kan du konfigurere for hver sandkasse: hvilke filer som er tilgjengelige for lesing og skriving, hvilke som er fullstendig skjult, hvilke nettverksporter som er åpne, hvilke DLL-er som kan lastes. I bunn og grunn er dette analogt med SELinux eller AppArmor i Windows-verdenen: kraftfullt, men krever dyp systemforståelse.

Hver linje i denne listen er en regel som avgjør om en applikasjon inne i sandkassen kan lese en spesifikk fil, skrive til den, eller i det hele tatt se at den eksisterer.

Register-, IPC- og COM-seksjonene er territorium for systemadministratorer og utviklere. Hvis du ikke vet hva en prosessdeskriptortabell eller registervirtualisering er, er det bedre å ikke gå inn i disse seksjonene. En konfigurasjonsfeil kan hindre Windows i å starte opp eller gjøre applikasjoner inne i sandkassen ikke-funksjonelle.

«Applications»-fanen er en ekstremt lang liste med kategorier med forhåndsdefinerte regler: nettlesere, e-postklienter, PDF-lesere, multimedia, arkivverktøy. For hver kategori kan du aktivere eller deaktivere en gruppe regler med én enkelt avkrysningsboks.

Kompatibilitetsmaler er et ferdiglaget sett med regler for spesifikke programmer. For eksempel er tillatelser for tilgang til profilen og hurtigbufferen allerede definert for Firefox, slik at nettleseren fungerer uten ytterligere manuell konfigurasjon.

Konfigurasjon er også tilgjengelig via en ini-fil for dem som trenger massedistribusjon eller automatisering. Det ser gammeldags ut, men fungerer og gjør det mulig å kopiere innstillinger mellom datamaskiner i én enkelt operasjon.

Hovedpoenget om innstillinger: Sandboxie gir et enestående kontrollnivå for et gratis verktøy. Konfigurasjonsgrensesnittet forblir imidlertid en inngangsbarriere som avskrekker nybegynnere.

En visuell demonstrasjon av grunnscenarioet (å starte en nettleser i en sandkasse og verifisere filisolering) finnes i videoen over.

Hvor sandkassemodellen svikter

På papiret ser Sandboxie feilfri ut: programmet er isolert fra systemet og kan ikke forårsake skade. I praksis bryter modellen sammen på tre punkter.

For det første, brukeren selv. Mekanismen for «umiddelbar gjenoppretting» er praktisk, men den er også den viktigste risikovektoren. Du lastet ned en fil i den sandkassekjørte nettleseren, gjenopprettet den til den ekte Nedlastinger-mappen og startet den utenfor. Hvis filen er ondsinnet, reddet ikke sandkassen deg: den isolerer bare det som er inni. Beslutningen om å gjenopprette tas av en person, og det å ha Sandboxie kan skape en falsk trygghetsfølelse. Etter vår erfaring er kjeden «lastet ned i sandkasse → gjenopprettet → startet utenfor» det vanligste kompromitteringsscenarioet.

For det andre, feilkonfigurasjon. Du lettet på restriksjonene slik at programmet inne i sandkassen skulle fungere «skikkelig», og åpnet tilgang til en ekte mappe eller registergren. I det øyeblikket skapte du et brudd i isoleringen. Paradokset er at de strengeste innstillingene ofte går ut over bekvemmeligheten, og brukeren myker dem opp. Og ikke alltid på en kompetent måte.

For det tredje, alternative beskyttelsesmekanismer som allerede finnes i systemet. Moderne nettlesere (Chrome, Edge, Firefox) har lenge operert i sine egne sandkasser på prosessnivå. Windows har innebygd Exploit Protection og Kontrollert mappetilgang. Å kjøre en nettleser under en begrenset Windows-konto dekker faktisk de fleste scenarioene som brukere installerer Sandboxie for.

Dette betyr ikke at Sandboxie er ubrukelig. Det gir det nettlesersandkasser mangler: isolering for ethvert program, ikke bare nettsider. Testing av installasjonsprogrammer, kjøring av gamle verktøy med ukjent opprinnelse, sjekking av prøveversjoner med aggressiv DRM: dette er scenarioer der innebygd Windows-beskyttelse er utilstrekkelig.

⁉️🤔 Ofte stilte spørsmål

Er Sandboxie et antivirus?

Nei. Sandboxie isolerer applikasjoner fra systemet, men søker ikke etter eller fjerner ondsinnet kode. Det forhindrer infeksjon ved å blokkere endringer på disken i stedet for å skanne filer. For full beskyttelse, bruk det sammen med et antivirus, ikke i stedet for ett.

Hvilken versjon er best, Plus eller Classic?

Sandboxie Plus. Den har et moderne Qt-grensesnitt, et gjenopprettingspanel med forhåndsvisning, prosessgruppering og aktiv utviklerstøtte (utgivelser med noen måneders mellomrom). Classic gir bare mening på eldre maskiner der Qt-versjonen ikke kjører.

Kan man kjøre et virus inne i sandkassen?

Det kan du, og det er trygt under to forutsetninger: du gjenoppretter ikke den ondsinnede filen til utsiden via «umiddelbar gjenoppretting», og du har ikke gitt sandkassen tilgang til ekte systemmapper. Sandkassen isolerer endringer, men den gjør ikke selve viruset ufarlig. Hvis du gjenoppretter det og kjører det utenfor, vil infeksjon oppstå.

Fungerer Sandboxie på Windows 11?

Ja. Fra og med versjon 1.3.5 (september 2022) støtter Sandboxie Plus Windows 11 fullt ut, inkludert integrasjon med den oppdaterte kontekstmenyen. I tillegg ble støtte for ARM64-prosessorer lagt til i versjon 1.5.0.

Hva skjer hvis du avinstallerer Sandboxie med kjørende sandkasser?

Alle filer inne i sandkasser vil bli slettet sammen med programmet. Før avinstallering, gå inn i hver sandkasse via hovedvinduet og gjenopprett nødvendige filer via «umiddelbar gjenoppretting». Etter det avinstallerer du programmet på vanlig måte.

Finnes det alternativer for macOS eller Linux?

Det finnes ingen direkte ekvivalent. På Linux håndteres isoleringsoppgaven av Firejail og Bubblewrap; de fungerer på navnerom- og kontrollgruppenivå i stedet for gjennom en kjernedriver slik som Sandboxie. På macOS er det nærmeste verktøyet i ånden den innebygde App Sandbox, men brukere kan ikke anvende den på vilkårlige programmer.

En sandkasse til daglig bruk: når det lønner seg

Sandboxie er ikke for alle. Hvis du jobber i en nettleser, ikke laster ned filer fra tvilsomme kilder og bruker en standardkonto uten administratorrettigheter, er innebygd Windows-beskyttelse tilstrekkelig.

Men hvis du regelmessig tester programvare, åpner vedlegg fra ukjente avsendere eller jobber med programmer du ikke stoler helt på, lønner Sandboxie Plus seg allerede første dag. Det er et gratis verktøy med åpen kildekode som gir et isolasjonsnivå sammenlignbart med en virtuell maskin, men uten overheaden fra et ekstra operativsystem.

Det viktigste å huske: sandkassen beskytter systemet mot applikasjonen, ikke applikasjonen mot brukeren. Beslutningen om å gjenopprette en fil til utsiden er din. Og det er det svakeste leddet.