Скачали.exe из непроверенного источника и боитесь запускать? Или нужно открыть подозрительную ссылку, но браузер, это окно в основную систему со всеми паролями и файлами? Каждый, кто администрирует Windows-компьютер, рано или поздно упирается в эту дилемму. Антивирус ловит далеко не всё, а виртуальная машина, громоздкое решение ради одного файла.

Здесь и нужна песочница: изолированная среда, где приложение работает как обычно, но не может тронуть реальную систему. С 2020 года лучший инструмент для этого на Windows, Sandboxie, ставший открытым исходным кодом и получивший новую жизнь.

💡 Быстрый обзор:

• Скачайте Sandboxie Plus с официального сайта и установите, драйвер изоляции встроится в систему за пару минут.
• Запустите браузер или любую программу через контекстное меню «Запустить в песочнице», окно появится с префиксом [#] в заголовке.
• Проверьте изоляцию: скачайте тестовый файл внутри песочницы, закройте программу, на реальном диске его нет.
• При необходимости восстановите файл через «Быстрое восстановление», выберите папку-назначение и подтвердите перенос.

Что такое Sandboxie и откуда он взялся

Sandboxie создаёт изолированную операционную среду поверх Windows. Внутри неё приложения видят свою копию реестра и файловой системы, но реальный реестр и диск остаются нетронутыми. Закрыли программу, все изменения исчезли.

История проекта длинная. Оригинальный автор Ронен Цур (Ronen Tzur) написал первую версию ещё в 2004 году. Потом продукт купила Invincea, затем, Sophos. В 2017 году Sophos интегрировала Sandboxie в свой корпоративный пакет, а в 2020-м объявила о прекращении разработки и открыла исходный код под лицензией GPLv3.

С тех пор проект ведёт Дэвид Ксанатос (David Xanatos), и он серьёзно вдохнул в Sandboxie новую жизнь. Сегодня доступно две версии:

• Sandboxie Plus, современная сборка с интерфейсом на Qt, новыми функциями и активной разработкой (последний релиз 1.15.6, февраль 2025).
• Sandboxie Classic, оригинальный интерфейс на MFC, без новых возможностей, но на том же проверенном ядре изоляции.

На GitHub у проекта 18,6 тысячи звёзд и более 2 000 форков, для утилиты такого класса это много. Разработка идёт непрерывно: поддержка Windows 11, ARM64-процессоров, новые режимы изоляции.

Установка и первый запуск

Установка простая, но требует внимания. Главный компонент, драйвер Sandboxie, который перехватывает системные вызовы на уровне ядра и перенаправляет их в изолированную среду. На тестовом компьютере с Windows 10 Home драйвер встал без конфликтов со встроенной защитой Windows.

При первом запуске Sandboxie сканирует установленные программы и предлагает применить шаблоны совместимости для браузеров, почтовых клиентов и другого ПО. Отказываться не стоит, шаблоны экономят время настройки, а удалить лишние можно позже.

Сразу после мастера на рабочем столе появляется ярлык «Sandboxie, Браузер по умолчанию». Это песочница DefaultBox с уже настроенным профилем для вашего браузера.

Интерфейс и базовое использование

Главное окно программы напоминает диспетчер задач. В левой части, список песочниц (контейнеров), в правой, процессы, запущенные в выбранной песочнице. Всё группируется по контейнерам: можно создать отдельные изолированные среды для браузера, почты и подозрительных файлов.

Главный визуальный признак того, что программа в песочнице, префикс [#] в заголовке окна. В Firefox и большинстве классических приложений это работает чётко. В Chrome заголовок скрыт, поэтому визуального маркера нет, определяется только наведением мыши на окно в панели задач. На практике ориентируемся по тому, что в песочном Chrome нет закладок и истории из реального профиля.

Запустить в песочнице можно любую программу: правый клик по исполняемому файлу или ярлыку → «Запустить в песочнице» → выбор контейнера. Никаких ограничений по типам приложений нет, exe, msi, портативные сборки работают одинаково.

Как работает изоляция файлов

Ключевая механика: всё, что программа делает внутри песочницы, остаётся там. Скачали файл через песочный браузер, он сохранился в виртуальную файловую систему внутри контейнера. Закрыли браузер, виртуальная система очищена, на реальном диске ничего нет.

Но что если файл на самом деле нужен? Для этого есть «Быстрое восстановление» (Immediate Recovery). При попытке сохранить файл в одну из системных папок (Загрузки, Документы, Рабочий стол) Sandboxie перехватывает операцию и предлагает восстановить его, то есть скопировать из песочницы в реальную систему.

Механика не самая интуитивная. Вариант «Закрыть» в диалоге восстановления не отменяет сохранение, файл остаётся внутри песочницы. А «Восстановить», копирует наружу. После закрытия приложения невосстановленные файлы удаляются. На практике к этому привыкаешь за пару дней активного использования.

Запуск через контекстное меню, самый частый сценарий в повседневной работе. Выбираете контейнер и программа стартует изолированно, без дополнительных действий.

С точки зрения производительности, нареканий нет. В песочном Firefox и Chrome не было замечено ни падения скорости, ни конфликтов с расширениями, ни проблем с воспроизведением видео. Накладные расходы на изоляцию минимальны.

Тонкая настройка: ограничения и разрешения

Настройки Sandboxie делятся на два уровня. Первый, быстрые, для текущего процесса: правый клик по процессу в главном окне даёт изменить поведение на этот сеанс. Второй, глобальные, для каждой песочницы отдельно.

Глобальные настройки спрятаны глубже, чем хотелось бы. Они открываются через меню «Песочница» → «Настройки песочницы», и это длинный список вкладок: внешний вид, восстановление и удаление файлов, группировка программ по типу, перенос файлов между средами.

Здесь задаются папки, для которых срабатывает «Быстрое восстановление», и поведение при закрытии программ внутри песочницы.

Группировка позволяет объединить браузеры на одном движке или все офисные приложения под единый набор правил, чтобы не настраивать каждое по отдельности.

Перенос файлов между песочницами пригождается, когда у вас несколько контейнеров и нужно передать данные из одного в другой без выхода в реальную систему.

Ограничения файловой системы контролируют, к каким папкам у изолированного приложения есть доступ, а какие полностью скрыты.

Обратите внимание: часть параметров описана через отрицания («не блокировать», «не запрещать»). Это наследие старого подхода к конфигурации, и оно сбивает с толку. Приходится мысленно переворачивать логику, чтобы понять, что произойдёт при включении опции.

Дальше идёт по-настоящему низкоуровневый раздел, права доступа. Здесь для каждой песочницы можно настроить: какие файлы доступны на чтение и запись, какие полностью скрыты, какие сетевые порты открыты, какие DLL можно загружать. По сути, это аналог SELinux или AppArmor в мире Windows, мощный, но требующий глубокого понимания системы.

Каждая строка в этом списке, правило, определяющее, может ли приложение внутри песочницы прочитать конкретный файл, записать в него или вообще увидеть его существование.

Разделы реестра, IPC и COM, территория системных администраторов и разработчиков. Если вы не знаете, что такое таблица дескрипторов процесса или виртуализация реестра, в эти секции лучше не заходить. Ошибка в настройках может заблокировать загрузку Windows или сделать приложения внутри песочницы неработоспособными.

Вкладка «Приложения», сверхдлинный список категорий с предустановленными правилами: браузеры, почтовые клиенты, PDF-читалки, мультимедиа, архиваторы. Для каждой категории можно включить или выключить группу правил одним флажком.

Шаблоны совместимости, готовая подборка правил под конкретные программы. Например, для Firefox уже прописаны разрешения на доступ к профилю и кешу, чтобы браузер работал без дополнительной ручной настройки.

Конфигурация также доступна через ini-файл, для тех, кому нужен массовый деплой или автоматизация. Выглядит архаично, но работает и позволяет копировать настройки между компьютерами одной операцией.

Итог по настройкам: Sandboxie даёт беспрецедентный для бесплатного инструмента уровень контроля. Но интерфейс конфигурации остаётся порогом входа, который отсекает начинающих пользователей.

Наглядная демонстрация базового сценария, запуск браузера в песочнице и проверка изоляции файлов, в видео выше.

Где модель песочницы даёт сбой

На бумаге Sandboxie выглядит безупречно: программа изолирована от системы и не может навредить. На практике модель ломается в трёх точках.

Первая, сам пользователь. Механизм «Быстрого восстановления» удобен, но он же и главный вектор риска. Вы скачали файл в песочном браузере, восстановили его в реальную «Загрузки», и запустили уже снаружи. Если файл вредоносный, песочница вас не спасла: она изолирует только то, что внутри. Решение о восстановлении принимает человек, и наличие Sandboxie может создать ложное чувство безопасности. По нашему опыту, именно цепочка «скачал в песочнице → восстановил → запустил снаружи», самый частый сценарий компрометации.

Вторая, неправильная настройка. Вы ослабили ограничения, чтобы программа внутри песочницы заработала «как надо», открыли доступ к реальной папке или ветке реестра. И в этот момент пробили брешь в изоляции. Парадокс в том, что самые строгие настройки часто мешают удобству, и пользователь их смягчает. А смягчает не всегда грамотно.

Третья, альтернативные средства защиты, которые уже есть в системе. Современные браузеры (Chrome, Edge, Firefox) давно работают в собственных песочницах на уровне процесса. Windows имеет встроенную Exploit Protection и Controlled Folder Access. Запуск браузера под ограниченной учётной записью Windows и вовсе перекрывает большинство сценариев, для которых пользователь ставит Sandboxie.

Это не значит, что Sandboxie бесполезен. Он даёт то, чего нет в браузерных песочницах: изоляцию для любого приложения, не только для веб-страниц. Тестирование установщиков, запуск старых утилит неизвестного происхождения, проверка триальных версий с агрессивным DRM, вот сценарии, где встроенной защиты Windows недостаточно.

⁉️🤔 Частые вопросы

Sandboxie, это антивирус?

Нет. Sandboxie изолирует приложения от системы, но не ищет и не удаляет вредоносный код. Он предотвращает заражение, блокируя изменения на диске, а не сканируя файлы. Для полной защиты используйте его вместе с антивирусом, а не вместо него.

Какая версия лучше, Plus или Classic?

Sandboxie Plus. В нём современный интерфейс на Qt, панель восстановления с предпросмотром, группировка процессов и активная поддержка разработчика (релизы каждые несколько месяцев). Classic имеет смысл только на старых машинах, где Qt-версия не запускается.

Можно ли запустить вирус внутри песочницы?

Можно, и это безопасно при двух условиях: вы не восстанавливаете вредоносный файл наружу через «Быстрое восстановление» и не дали песочнице доступ к реальным системным папкам. Песочница изолирует изменения, но не делает сам вирус безвредным, если восстановить его наружу и запустить, заражение произойдёт.

Работает ли Sandboxie на Windows 11?

Да. Начиная с версии 1.3.5 (сентябрь 2022), Sandboxie Plus полностью поддерживает Windows 11, включая интеграцию с обновлённым контекстным меню. Также с версии 1.5.0 добавлена поддержка ARM64-процессоров.

Что будет, если удалить Sandboxie с запущенными песочницами?

Все файлы внутри песочниц удалятся вместе с программой. Перед удалением зайдите в каждую песочницу через главное окно и восстановите нужные файлы через «Быстрое восстановление». После этого деинсталлируйте программу обычным способом.

Есть ли аналоги для macOS или Linux?

Прямого аналога нет. На Linux задачу изоляции решают Firejail и Bubblewrap, они работают на уровне пространств имён и control groups, а не через драйвер ядра как Sandboxie. На macOS ближайший по духу инструмент, штатная песочница приложений App Sandbox, но пользователь не может применять её к произвольным программам.

Песочница на каждый день: когда она окупается

Sandboxie не нужен всем подряд. Если вы работаете в браузере, не скачиваете файлы из сомнительных источников и пользуетесь стандартной учётной записью без прав администратора, встроенной защиты Windows достаточно.

Но если вы регулярно тестируете софт, открываете вложения от незнакомых отправителей или работаете с программами, которым не доверяете полностью, Sandboxie Plus окупается в первый же день. Это бесплатный инструмент с открытым кодом, который даёт уровень изоляции, сопоставимый с виртуальной машиной, но без накладных расходов на вторую ОС.

Главное, что стоит запомнить: песочница защищает систему от приложения, а не приложение от пользователя. Решение восстановить файл наружу принимаете вы. И это, самое слабое звено.