Завантажили.exe з неперевіреного джерела й боїтеся запускати? Чи потрібно відкрити підозріле посилання, але браузер — це вікно в основну систему з усіма паролями та файлами? Кожен, хто адмініструє Windows-комп’ютер, рано чи пізно впирається в цю дилему. Антивірус ловить далеко не все, а віртуальна машина, громіздке рішення заради одного файлу.

Тут і потрібна пісочниця: ізольоване середовище, де застосунок працює як зазвичай, але не може зачепити реальну систему. З 2020 року найкращий інструмент для цього на Windows, Sandboxie, який став відкритим вихідним кодом і отримав нове життя.

💡 Швидкий огляд:

• Завантажте Sandboxie Plus з офіційного сайту та встановіть, драйвер ізоляції вбудується в систему за пару хвилин.
• Запустіть браузер або будь-яку програму через контекстне меню «Запустити в пісочниці», вікно з’явиться з префіксом [#] у заголовку.
• Перевірте ізоляцію: завантажте тестовий файл усередині пісочниці, закрийте програму, на реальному диску його немає.
• За потреби відновіть файл через «Швидке відновлення», виберіть цільову папку та підтвердьте перенесення.

Що таке Sandboxie і звідки він узявся

Sandboxie створює ізольоване операційне середовище поверх Windows. Усередині нього застосунки бачать свою копію реєстру та файлової системи, але реальний реєстр і диск залишаються недоторканими. Закрили програму, усі зміни зникли.

Історія проєкту довга. Оригінальний автор Ронен Цур (Ronen Tzur) написав першу версію ще у 2004 році. Потім продукт купила Invincea, згодом, Sophos. У 2017 році Sophos інтегрувала Sandboxie у свій корпоративний пакет, а у 2020-му оголосила про припинення розробки та відкрила вихідний код під ліцензією GPLv3.

Відтоді проєкт веде Девід Ксанатос (David Xanatos), і він серйозно вдихнув у Sandboxie нове життя. Сьогодні доступно дві версії:

• Sandboxie Plus, сучасна збірка з інтерфейсом на Qt, новими функціями та активною розробкою (останній реліз 1.15.6, лютий 2025).
• Sandboxie Classic, оригінальний інтерфейс на MFC, без нових можливостей, але на тому ж перевіреному ядрі ізоляції.

На GitHub у проєкту 18,6 тисячі зірок і понад 2 000 форків, для утиліти такого класу це багато. Розробка триває безперервно: підтримка Windows 11, ARM64-процесорів, нові режими ізоляції.

Встановлення та перший запуск

Встановлення просте, але потребує уваги. Головний компонент, драйвер Sandboxie, який перехоплює системні виклики на рівні ядра та перенаправляє їх в ізольоване середовище. На тестовому комп’ютері з Windows 10 Home драйвер став без конфліктів із вбудованим захистом Windows.

Під час першого запуску Sandboxie сканує встановлені програми та пропонує застосувати шаблони сумісності для браузерів, поштових клієнтів та іншого ПЗ. Відмовлятися не варто, шаблони економлять час налаштування, а видалити зайві можна пізніше.

Одразу після майстра на робочому столі з’являється ярлик «Sandboxie, Браузер за замовчуванням». Це пісочниця DefaultBox із уже налаштованим профілем для вашого браузера.

Інтерфейс і базове використання

Головне вікно програми нагадує диспетчер завдань. У лівій частині, список пісочниць (контейнерів), у правій, процеси, запущені у вибраній пісочниці. Усе групується за контейнерами: можна створити окремі ізольовані середовища для браузера, пошти та підозрілих файлів.

Головна візуальна ознака того, що програма в пісочниці,, префікс [#] у заголовку вікна. У Firefox і більшості класичних застосунків це працює чітко. У Chrome заголовок приховано, тому візуального маркера немає, визначається лише наведенням миші на вікно в панелі завдань. На практиці орієнтуємося за тим, що в пісочному Chrome немає закладок та історії з реального профілю.

Запустити в пісочниці можна будь-яку програму: правий клік по виконуваному файлу або ярлику → «Запустити в пісочниці» → вибір контейнера. Жодних обмежень за типами застосунків немає, exe, msi, портативні збірки працюють однаково.

Як працює ізоляція файлів

Ключова механіка: усе, що програма робить усередині пісочниці, залишається там. Завантажили файл через пісочний браузер, він зберігся у віртуальну файлову систему всередині контейнера. Закрили браузер, віртуальну систему очищено, на реальному диску нічого немає.

Але що, як файл насправді потрібен? Для цього є «Швидке відновлення» (Immediate Recovery). Коли ви намагаєтеся зберегти файл в одну із системних папок (Завантаження, Документи, Робочий стіл), Sandboxie перехоплює операцію та пропонує відновити його, тобто скопіювати з пісочниці в реальну систему.

Механіка не найінтуїтивніша. Варіант «Закрити» в діалозі відновлення не скасовує збереження, файл залишається всередині пісочниці. А «Відновити», копіює назовні. Після закриття застосунку невідновлені файли видаляються. На практиці до цього звикаєш за пару днів активного використання.

Запуск через контекстне меню, найчастіший сценарій у повсякденній роботі. Вибираєте контейнер, і програма стартує ізольовано, без додаткових дій.

З погляду продуктивності, нарікань немає. У пісочних Firefox і Chrome не було помічено ані падіння швидкості, ані конфліктів із розширеннями, ані проблем із відтворенням відео. Накладні витрати на ізоляцію мінімальні.

Тонке налаштування: обмеження та дозволи

Налаштування Sandboxie поділяються на два рівні. Перший, швидкі, для поточного процесу: правий клік по процесу в головному вікні дає змогу змінити поведінку на цей сеанс. Другий, глобальні, для кожної пісочниці окремо.

Глобальні налаштування заховані глибше, ніж хотілося б. Вони відкриваються через меню «Пісочниця» → «Налаштування пісочниці», і це довгий перелік вкладок: зовнішній вигляд, відновлення та видалення файлів, групування програм за типом, перенесення файлів між середовищами.

Тут задаються папки, для яких спрацьовує «Швидке відновлення», і поведінка під час закриття програм усередині пісочниці.

Групування дає змогу об’єднати браузери на одному рушії або всі офісні застосунки під єдиний набір правил, щоб не налаштовувати кожен окремо.

Перенесення файлів між пісочницями стає в пригоді, коли у вас кілька контейнерів і потрібно передати дані з одного в інший без виходу в реальну систему.

Обмеження файлової системи контролюють, до яких папок ізольований застосунок має доступ, а які повністю приховані.

Зверніть увагу: частину параметрів описано через заперечення («не блокувати», «не забороняти»). Це спадок старого підходу до конфігурації, і він збиває з пантелику. Доводиться подумки перевертати логіку, щоб зрозуміти, що станеться, коли ввімкнути опцію.

Далі йде по-справжньому низькорівневий розділ, права доступу. Тут для кожної пісочниці можна налаштувати: які файли доступні для читання та запису, які повністю приховані, які мережеві порти відкриті, які DLL можна завантажувати. По суті — це аналог SELinux або AppArmor у світі Windows, потужний, але потребує глибокого розуміння системи.

Кожен рядок у цьому списку, правило, яке визначає, чи може застосунок усередині пісочниці прочитати конкретний файл, записати в нього або взагалі побачити його існування.

Розділи реєстру, IPC і COM, територія системних адміністраторів і розробників. Якщо ви не знаєте, що таке таблиця дескрипторів процесу або віртуалізація реєстру, до цих секцій краще не заходити. Помилка в налаштуваннях може заблокувати завантаження Windows або зробити застосунки всередині пісочниці непрацездатними.

Вкладка «Застосунки», наддовгий перелік категорій із попередньо встановленими правилами: браузери, поштові клієнти, програми для читання PDF, мультимедіа, архіватори. Для кожної категорії можна ввімкнути або вимкнути групу правил одним прапорцем.

Шаблони сумісності, готова добірка правил під конкретні програми. Наприклад, для Firefox уже прописані дозволи на доступ до профілю та кешу, щоб браузер працював без додаткового ручного налаштування.

Конфігурація також доступна через ini-файл для тих, кому потрібне масове розгортання або автоматизація. Виглядає архаїчно, але працює і дає змогу копіювати налаштування між комп’ютерами однією операцією.

Підсумок щодо налаштувань: Sandboxie надає безпрецедентний для безплатного інструмента рівень контролю. Але інтерфейс конфігурації залишається порогом входу, який відсікає початківців.

Наочна демонстрація базового сценарію, запуск браузера в пісочниці та перевірка ізоляції файлів, у відео вище.

Де модель пісочниці дає збій

На папері Sandboxie виглядає бездоганно: програма ізольована від системи і не може зашкодити. На практиці модель ламається в трьох точках.

Перша, сам користувач. Механізм «Швидкого відновлення» зручний, але він же і головний вектор ризику. Ви завантажили файл у пісочному браузері, відновили його в реальну теку «Завантаження» і запустили вже ззовні. Якщо файл шкідливий, пісочниця вас не врятувала: вона ізолює лише те, що всередині. Рішення про відновлення ухвалює людина, і наявність Sandboxie може створити хибне відчуття безпеки. З нашого досвіду, саме ланцюжок «завантажив у пісочниці → відновив → запустив ззовні» є найчастішим сценарієм компрометації.

Друга, неправильне налаштування. Ви послабили обмеження, щоб програма всередині пісочниці запрацювала «як треба», відкрили доступ до реальної теки або гілки реєстру. І в цей момент пробили пролом в ізоляції. Парадокс у тому, що найсуворіші налаштування часто заважають зручності, і користувач їх пом’якшує. А пом’якшує не завжди грамотно.

Третя, альтернативні засоби захисту, які вже є в системі. Сучасні браузери (Chrome, Edge, Firefox) давно працюють у власних пісочницях на рівні процесу. Windows має вбудовані Exploit Protection і Controlled Folder Access. Запуск браузера під обмеженим обліковим записом Windows взагалі перекриває більшість сценаріїв, заради яких користувач встановлює Sandboxie.

Це не означає, що Sandboxie марний. Він дає те, чого немає в браузерних пісочницях: ізоляцію для будь-якого застосунку, не лише для вебсторінок. Тестування інсталяторів, запуск старих утиліт невідомого походження, перевірка пробних версій з агресивним DRM, ось сценарії, де вбудованого захисту Windows недостатньо.

⁉️🤔 Часті запитання

Sandboxie — це антивірус?

Ні. Sandboxie ізолює застосунки від системи, але не шукає і не видаляє шкідливий код. Він запобігає зараженню, блокуючи зміни на диску, а не скануючи файли. Для повного захисту використовуйте його разом з антивірусом, а не замість нього.

Яка версія краща: Plus чи Classic?

Sandboxie Plus. У ньому сучасний інтерфейс на Qt, панель відновлення з попереднім переглядом, групування процесів і активна підтримка розробника (релізи кожні кілька місяців). Classic має сенс лише на старих машинах, де Qt-версія не запускається.

Чи можна запустити вірус усередині пісочниці?

Можна, і це безпечно за двох умов: ви не відновлюєте шкідливий файл назовні через «Швидке відновлення» і не дали пісочниці доступ до реальних системних тек. Пісочниця ізолює зміни, але не робить сам вірус нешкідливим: якщо відновити його назовні й запустити, зараження відбудеться.

Чи працює Sandboxie на Windows 11?

Так. Починаючи з версії 1.3.5 (вересень 2022), Sandboxie Plus повністю підтримує Windows 11, включно з інтеграцією з оновленим контекстним меню. Також із версії 1.5.0 додано підтримку процесорів ARM64.

Що буде, якщо видалити Sandboxie із запущеними пісочницями?

Усі файли всередині пісочниць видаляться разом із програмою. Перед видаленням зайдіть у кожну пісочницю через головне вікно та відновіть потрібні файли через «Швидке відновлення». Після цього деінсталюйте програму звичайним способом.

Чи є аналоги для macOS або Linux?

Прямого аналога немає. На Linux задачу ізоляції вирішують Firejail і Bubblewrap, вони працюють на рівні просторів імен і control groups, а не через драйвер ядра, як Sandboxie. На macOS найближчий за духом інструмент, штатна пісочниця застосунків App Sandbox, але користувач не може застосовувати її до довільних програм.

Пісочниця на щодень: коли вона окупається

Sandboxie не потрібен усім підряд. Якщо ви працюєте в браузері, не завантажуєте файли із сумнівних джерел і користуєтеся стандартним обліковим записом без прав адміністратора, вбудованого захисту Windows достатньо.

Але якщо ви регулярно тестуєте софт, відкриваєте вкладення від незнайомих відправників або працюєте з програмами, яким не довіряєте повністю, Sandboxie Plus окупається в перший же день. Це безплатний інструмент із відкритим кодом, який дає рівень ізоляції, зіставний із віртуальною машиною, але без накладних витрат на другу ОС.

Головне, що варто запам’ятати: пісочниця захищає систему від застосунку, а не застосунок від користувача. Рішення відновити файл назовні ухвалюєте ви. І це, найслабша ланка.