Pobrał Pan/Pani plik.exe z niesprawdzonego źródła i boi się go uruchomić? A może musi Pan/Pani otworzyć podejrzany link, ale przeglądarka to przecież okno do głównego systemu ze wszystkimi hasłami i plikami? Każdy, kto administruje komputerem z Windows, prędzej czy później staje przed tym dylematem. Antywirus nie wyłapuje wszystkiego, a maszyna wirtualna to zbyt ciężkie rozwiązanie dla jednego pliku.

Właśnie tu potrzebna jest piaskownica: izolowane środowisko, w którym aplikacja działa normalnie, ale nie może naruszyć rzeczywistego systemu. Od 2020 roku najlepszym narzędziem do tego na Windows jest Sandboxie, które stało się open source i dostało nowe życie.

💡 Szybki przegląd:

• Proszę pobrać Sandboxie Plus z oficjalnej strony i zainstalować, sterownik izolacji wbuduje się w system w kilka minut.
• Proszę uruchomić przeglądarkę lub dowolną aplikację przez menu kontekstowe „Uruchom w piaskownicy", okno pojawi się z prefiksem [#] w tytule.
• Proszę sprawdzić izolację: pobrać plik testowy wewnątrz piaskownicy, zamknąć program, na rzeczywistym dysku go nie ma.
• W razie potrzeby proszę odzyskać plik przez „Szybkie odzyskiwanie", wybrać folder docelowy i potwierdzić przeniesienie.

Czym jest Sandboxie i skąd się wzięło

Sandboxie tworzy izolowane środowisko operacyjne nałożone na Windows. W jego wnętrzu aplikacje widzą własną kopię rejestru i systemu plików, ale rzeczywisty rejestr i dysk pozostają nietknięte. Po zamknięciu programu wszystkie zmiany znikają.

Historia projektu jest długa. Pierwotny autor, Ronen Tzur, napisał pierwszą wersję jeszcze w 2004 roku. Następnie produkt kupiła firma Invincea, a później Sophos. W 2017 roku Sophos zintegrował Sandboxie ze swoim pakietem korporacyjnym, a w 2020 ogłosił zakończenie prac rozwojowych i udostępnił kod źródłowy na licencji GPLv3.

Od tego czasu projekt prowadzi David Xanatos i poważnie tchnął w Sandboxie nowe życie. Obecnie dostępne są dwie wersje:

• Sandboxie Plus, nowoczesna kompilacja z interfejsem w Qt, nowymi funkcjami i aktywnym rozwojem (ostatnie wydanie 1.15.6, luty 2025).
• Sandboxie Classic, oryginalny interfejs w MFC, bez nowych możliwości, ale na tym samym sprawdzonym jądrze izolacji.

Na GitHubie projekt ma 18,6 tysiąca gwiazdek i ponad 2000 forków, jak na narzędzie tej klasy to dużo. Rozwój trwa nieprzerwanie: wsparcie dla Windows 11, procesorów ARM64, nowe tryby izolacji.

Instalacja i pierwsze uruchomienie

Instalacja jest prosta, ale wymaga uwagi. Główny komponent to sterownik Sandboxie, który przechwytuje wywołania systemowe na poziomie jądra i przekierowuje je do izolowanego środowiska. Na komputerze testowym z Windows 10 Home sterownik zainstalował się bez konfliktów z wbudowaną ochroną Windows.

Podczas pierwszego uruchomienia Sandboxie skanuje zainstalowane programy i proponuje zastosowanie szablonów zgodności dla przeglądarek, klientów poczty i innego oprogramowania. Nie warto odmawiać, szablony oszczędzają czas konfiguracji, a zbędne można później usunąć.

Zaraz po zakończeniu pracy kreatora na pulpicie pojawia się skrót „Sandboxie, przeglądarka domyślna". To piaskownica DefaultBox z już skonfigurowanym profilem dla Pana/Pani przeglądarki.

Interfejs i podstawowe użycie

Główne okno programu przypomina menedżera zadań. W lewej części znajduje się lista piaskownic (kontenerów), w prawej, procesy uruchomione w wybranej piaskownicy. Wszystko jest grupowane według kontenerów: można tworzyć osobne izolowane środowiska dla przeglądarki, poczty i podejrzanych plików.

Główną wizualną oznaką tego, że program działa w piaskownicy, jest prefiks [#] w tytule okna. W Firefoksie i większości klasycznych aplikacji działa to bez zarzutu. W Chrome tytuł jest ukryty, więc nie ma wizualnego znacznika, można to stwierdzić tylko po najechaniu myszą na okno na pasku zadań. W praktyce orientujemy się po tym, że w piaskownicowym Chrome nie ma zakładek ani historii z rzeczywistego profilu.

W piaskownicy można uruchomić dowolny program: prawy przycisk myszy na pliku wykonywalnym lub skrócie → „Uruchom w piaskownicy" → wybór kontenera. Nie ma żadnych ograniczeń co do typu aplikacji, exe, msi, kompilacje przenośne działają tak samo.

Jak działa izolacja plików

Kluczowa mechanika: wszystko, co program robi wewnątrz piaskownicy, tam pozostaje. Jeśli pobierze Pan/Pani plik przez piaskownicową przeglądarkę, zostanie on zapisany w wirtualnym systemie plików wewnątrz kontenera. Po zamknięciu przeglądarki wirtualny system jest czyszczony, na rzeczywistym dysku nie ma nic.

A co, jeśli plik jest jednak potrzebny? Służy do tego „Szybkie odzyskiwanie" (Immediate Recovery). Gdy próbuje Pan/Pani zapisać plik w jednym z folderów systemowych (Pobrane, Dokumenty, Pulpit), Sandboxie przechwytuje operację i proponuje odzyskanie go, czyli skopiowanie z piaskownicy do rzeczywistego systemu.

Mechanika nie należy do najbardziej intuicyjnych. Opcja „Zamknij" w oknie odzyskiwania nie anuluje zapisu, plik pozostaje wewnątrz piaskownicy. Natomiast „Odzyskaj" kopiuje go na zewnątrz. Po zamknięciu aplikacji nieodzyskane pliki są usuwane. W praktyce przyzwyczaja się Pan/Pani do tego po kilku dniach aktywnego użytkowania.

Uruchamianie przez menu kontekstowe to najczęstszy scenariusz w codziennej pracy. Wybiera Pan/Pani kontener i program startuje w izolacji, bez dodatkowych czynności.

Z punktu widzenia wydajności nie ma powodów do narzekań. W środowiskach testowych Firefox i Chrome nie zaobserwowano ani spadku szybkości, ani konfliktów z rozszerzeniami, ani problemów z odtwarzaniem wideo. Narzut związany z izolacją jest minimalny.

Dostrajanie: ograniczenia i uprawnienia

Ustawienia Sandboxie dzielą się na dwa poziomy. Pierwszy, szybki, dla bieżącego procesu: kliknięcie prawym przyciskiem myszy na proces w głównym oknie pozwala zmienić zachowanie na tę sesję. Drugi, globalny, dla każdej piaskownicy osobno.

Ustawienia globalne są ukryte głębiej, niż by się chciało. Otwiera się je przez menu „Piaskownica" → „Ustawienia piaskownicy" i jest to długa lista zakładek: wygląd, odzyskiwanie i usuwanie plików, grupowanie programów według typu, przenoszenie plików między środowiskami.

Tutaj określa się foldery, dla których działa „Szybkie odzyskiwanie", oraz zachowanie podczas zamykania programów wewnątrz piaskownicy.

Grupowanie pozwala połączyć przeglądarki na tym samym silniku lub wszystkie aplikacje biurowe pod jednym zestawem reguł, aby nie konfigurować każdej z osobna.

Przenoszenie plików między piaskownicami przydaje się, gdy ma Pan/Pani kilka kontenerów i trzeba przekazać dane z jednego do drugiego bez wychodzenia do rzeczywistego systemu.

Ograniczenia systemu plików kontrolują, do których folderów izolowana aplikacja ma dostęp, a które są całkowicie ukryte.

Proszę zwrócić uwagę: część parametrów opisano przez zaprzeczenie („nie blokować", „nie zabraniać"). To spuścizna starego podejścia do konfiguracji i jest to mylące. Trzeba w myślach odwracać logikę, aby zrozumieć, co się stanie po włączeniu opcji.

Dalej znajduje się naprawdę niskopoziomowa sekcja, prawa dostępu. Tutaj dla każdej piaskownicy można skonfigurować: które pliki są dostępne do odczytu i zapisu, które są całkowicie ukryte, które porty sieciowe są otwarte, które biblioteki DLL można ładować. W istocie jest to odpowiednik SELinuksa lub AppArmora w świecie Windows, potężny, ale wymagający głębokiego zrozumienia systemu.

Każdy wiersz na tej liście to reguła, która określa, czy aplikacja wewnątrz piaskownicy może odczytać konkretny plik, zapisać do niego, czy w ogóle zobaczyć jego istnienie.

Sekcje rejestru, IPC i COM to terytorium administratorów systemowych i deweloperów. Jeśli nie wie Pan/Pani, czym jest tablica deskryptorów procesu lub wirtualizacja rejestru, lepiej do tych sekcji nie wchodzić. Błąd w ustawieniach może zablokować ładowanie Windows lub sprawić, że aplikacje wewnątrz piaskownicy przestaną działać.

Zakładka „Aplikacje" to bardzo długa lista kategorii ze wstępnie zdefiniowanymi regułami: przeglądarki, klienty poczty, programy do odczytu PDF, multimedia, archiwizatory. Dla każdej kategorii można włączyć lub wyłączyć grupę reguł jednym polem wyboru.

Szablony zgodności to gotowy zestaw reguł dla konkretnych programów. Na przykład dla Firefoksa są już zapisane uprawnienia dostępu do profilu i pamięci podręcznej, aby przeglądarka działała bez dodatkowej ręcznej konfiguracji.

Konfiguracja jest również dostępna przez plik ini dla tych, którzy potrzebują masowego wdrożenia lub automatyzacji. Wygląda archaicznie, ale działa i pozwala skopiować ustawienia między komputerami jedną operacją.

Podsumowanie ustawień: Sandboxie zapewnia bezprecedensowy jak na darmowe narzędzie poziom kontroli. Jednak interfejs konfiguracji pozostaje progiem wejścia, który odcina początkujących.

Poglądowa demonstracja podstawowego scenariusza, uruchomienie przeglądarki w piaskownicy i sprawdzenie izolacji plików, na filmie powyżej.

Gdzie model piaskownicy zawodzi

Na papierze Sandboxie wygląda bezbłędnie: program jest odizolowany od systemu i nie może zaszkodzić. W praktyce model załamuje się w trzech punktach.

Pierwszy to sam użytkownik. Mechanizm „Szybkiego odzyskiwania" jest wygodny, ale jest też głównym wektorem ryzyka. Pobrał Pan plik w przeglądarce w piaskownicy, odzyskał go do rzeczywistego folderu „Pobrane" i uruchomił już na zewnątrz. Jeśli plik jest szkodliwy, piaskownica Pana nie uratowała: izoluje tylko to, co jest w środku. Decyzję o odzyskaniu podejmuje człowiek, a obecność Sandboxie może stworzyć fałszywe poczucie bezpieczeństwa. Z naszego doświadczenia wynika, że właśnie łańcuch „pobrałem w piaskownicy → odzyskałem → uruchomiłem na zewnątrz" jest najczęstszym scenariuszem kompromitacji.

Drugi to nieprawidłowa konfiguracja. Osłabił Pan ograniczenia, aby program wewnątrz piaskownicy działał „jak należy", otworzył dostęp do rzeczywistego folderu lub gałęzi rejestru. I w tym momencie zrobił Pan wyłom w izolacji. Paradoks polega na tym, że najsurowsze ustawienia często przeszkadzają w wygodzie i użytkownik je łagodzi. A łagodzi nie zawsze umiejętnie.

Trzeci to alternatywne środki ochrony, które już są w systemie. Współczesne przeglądarki (Chrome, Edge, Firefox) od dawna działają we własnych piaskownicach na poziomie procesu. Windows ma wbudowane Exploit Protection i Controlled Folder Access. Uruchomienie przeglądarki na ograniczonym koncie Windows w ogóle pokrywa większość scenariuszy, dla których użytkownik instaluje Sandboxie.

To nie znaczy, że Sandboxie jest bezużyteczny. Daje to, czego nie ma w piaskownicach przeglądarek: izolację dla dowolnej aplikacji, nie tylko dla stron internetowych. Testowanie instalatorów, uruchamianie starych narzędzi nieznanego pochodzenia, sprawdzanie wersji próbnych z agresywnym DRM, oto scenariusze, w których wbudowana ochrona Windows jest niewystarczająca.

⁉️🤔 Często zadawane pytania

Sandboxie, czy to antywirus?

Nie. Sandboxie izoluje aplikacje od systemu, ale nie szuka ani nie usuwa szkodliwego kodu. Zapobiega infekcji, blokując zmiany na dysku, a nie skanując pliki. Dla pełnej ochrony należy używać go razem z antywirusem, a nie zamiast niego.

Która wersja jest lepsza: Plus czy Classic?

Sandboxie Plus. Ma nowoczesny interfejs na Qt, panel odzyskiwania z podglądem, grupowanie procesów i aktywną pomoc techniczną dewelopera (wydania co kilka miesięcy). Classic ma sens tylko na starych maszynach, gdzie wersja Qt nie daje się uruchomić.

Czy można uruchomić wirusa wewnątrz piaskownicy?

Można i jest to bezpieczne pod dwoma warunkami: nie odzyska Pan szkodliwego pliku na zewnątrz przez „Szybkie odzyskiwanie" i nie dał Pan piaskownicy dostępu do rzeczywistych folderów systemowych. Piaskownica izoluje zmiany, ale nie czyni samego wirusa nieszkodliwym: jeśli odzyska go Pan na zewnątrz i uruchomi, dojdzie do infekcji.

Czy Sandboxie działa na Windows 11?

Tak. Począwszy od wersji 1.3.5 (wrzesień 2022), Sandboxie Plus w pełni obsługuje Windows 11, włącznie z integracją ze zaktualizowanym menu kontekstowym. Również od wersji 1.5.0 dodano obsługę procesorów ARM64.

Co się stanie, jeśli odinstaluję Sandboxie z uruchomionymi piaskownicami?

Wszystkie pliki wewnątrz piaskownic zostaną usunięte razem z programem. Przed odinstalowaniem należy wejść do każdej piaskownicy przez główne okno i odzyskać potrzebne pliki przez „Szybkie odzyskiwanie". Następnie odinstalować program w zwykły sposób.

Czy są odpowiedniki dla macOS lub Linux?

Bezpośredniego odpowiednika nie ma. Na Linuksie zadanie izolacji rozwiązują Firejail i Bubblewrap, działają one na poziomie przestrzeni nazw i control groups, a nie przez sterownik jądra, jak Sandboxie. Na macOS najbliższym duchem narzędziem jest standardowa piaskownica aplikacji App Sandbox, ale użytkownik nie może jej zastosować do dowolnych programów.

Piaskownica na co dzień: kiedy się opłaca

Sandboxie nie jest potrzebny każdemu. Jeśli pracuje Pan w przeglądarce, nie pobiera plików z wątpliwych źródeł i korzysta ze standardowego konta bez uprawnień administratora, wbudowana ochrona Windows jest wystarczająca.

Ale jeśli regularnie testuje Pan oprogramowanie, otwiera załączniki od nieznanych nadawców lub pracuje z programami, którym nie ufa Pan w pełni, Sandboxie Plus opłaca się już pierwszego dnia. To darmowe narzędzie o otwartym kodzie źródłowym, które daje poziom izolacji porównywalny z maszyną wirtualną, ale bez kosztów ogólnych drugiego systemu operacyjnego.

Najważniejsze, co warto zapamiętać: piaskownica chroni system przed aplikacją, a nie aplikację przed użytkownikiem. Decyzję o odzyskaniu pliku na zewnątrz podejmuje Pan. I to jest najsłabsze ogniwo.