マイクロソフトは今週、悪意のあるコードによるユーザーのシステムへの被害を防ぐため、アプリケーションを隔離する新しいセキュリティ機能「Windows Sandbox」を発表しました。この機能はWindows ProおよびEnterpriseエディションでのみ利用可能です。
Windows Sandbox は、ユーザーがアプリケーションを自由に分離できる軽量な仮想環境を作成できるようにします。これは、Sandboxie、Shade Sandbox、ReHIPS などのサードパーティ製アプリケーションの使用に似ています。ただし、Windows Sandbox はさらに一歩進んで、「ハイブリッド」アプローチを採用した仮想マシンを作成します。つまり、サンドボックス環境はホストと同じファイルを共有するのではなく、それらのファイルの「クリーン」バージョンを動的に生成します。言い換えれば、これは通常の仮想マシンとほぼ同じで、仮想マシンはホストとは全く異なる OS イメージを使用しますが、Windows Sandbox はリソースを節約するために OS のファイルを変更せずに使用します。
Windows Sandboxを使用すると、ユーザーはWindowsの新規インストール環境を利用して、特定のアプリケーションがコンピューターに損害を与える心配をすることなく、特定のアプリケーションをテストすることができます。Windows Sandboxを閉じると、ソフトウェアの状態とファイルはすべて完全に削除されます。
Windowsサンドボックスの使い方
Microsoft によれば、Sandbox 機能には次のような特徴があります。
- この機能に必要なものはすべて、Windows 10 Pro および Enterprise に付属しています。
- Windows Sandboxを実行するたびに、Windowsを新規にインストールしたのと同じくらいクリーンになります。
- デバイス上には何も残りません。アプリケーションを閉じるとすべてが破棄されます。
- カーネル分離にはハードウェア ベースの仮想化を使用します。これは、Microsoft のハイパーバイザーに依存して別のカーネルを実行し、Windows Sandbox をホストから分離します。
- 統合カーネル スケジューラ、スマート メモリ管理、仮想 GPU を使用します。
Microsoftは、BIOSで仮想化機能が有効になっているAMD64システム、Windows 10 ProまたはEnterpriseビルド18305以降、SSD、8GBのRAM、クアッドコアプロセッサを搭載したシステムを推奨しています。すべての仮想マシンは、より高速なドライブ、より多くのRAM、より多くのCPUコアが割り当てられていると、より効率的に動作する傾向があります。そのため、これらの性能を向上させるほど、Windows Sandboxのエクスペリエンスは向上するはずです。
Tom's Hardware の最高のニュースと詳細なレビューをあなたの受信箱に直接お届けします。
BIOSで仮想化機能を有効にした後、「Windowsの機能」でWindows Sandbox機能も有効にする必要があります。その後は、Windows Sandboxアプリケーションを起動し、昇格した権限を許可し、サンドボックス内で試したい実行ファイルをコピーするだけです。インストーラーもサンドボックス内で使用できます。
Windows サンドボックスの仕組み
Microsoft は、Windows Sandbox 機能を作成するために自社のサーバー テクノロジ (Hyper-V やコンテナーなど) を使用したが、主流のラップトップに適するように、必要なリソースが少なくなり、消費電力が少なくなるように合理化したと述べています。
Windows Sandbox は、Windows 10 の別個のイメージを使用するのではなく、クリーンな（変更されていない）バージョンの Windows ファイルへのリンクを使用します。これにより、Windows Sandbox 環境で使用される「ベースイメージ」は、新規の Windows インストール/イメージで数GB 必要となるのに対し、わずか100MB に抑えられます。また、ローエンドデバイスでも高いパフォーマンスを実現できるのも、このためです。
これは明らかに、最大限のセキュリティと、アプリケーションがサンドボックス化されるたびにシステム全体がダウンすることのない、使いやすいサンドボックスベースイメージの必要性との間で、Microsoftが妥協した結果です。しかし、この仮想マシンイメージがWindows 10のオリジナルシステムファイルから作成されているという事実を巧妙な攻撃者が悪用し、将来的にサンドボックスを侵害する可能性があります。それでも、容易な攻撃ではないはずです。
マイクロソフトが採用したもう一つの「ハイブリッド」な設計上の選択は、サンドボックスがホストシステムとメモリを共有する方法でした。ホストシステムはサンドボックス化されたアプリケーションから未使用のメモリを回収できるようになるため、将来的にはこれも悪用される可能性があります。
ホストアプリケーションとサンドボックスアプリケーションは同じ物理メモリページを共有しますが、Microsoftは、これは安全な方法で行われ、機密情報が共有されることはないと主張しています。しかし、この主張が正しいと証明されるには、時間をかけて検証する必要があります。
MicrosoftはWindows Sandboxにスケジューラも統合しました。これにより、ホストがサンドボックスの実行タイミングを決定できるようになり、より応答性の高いシステムを実現できます。同社によると、この統合の目的は、サンドボックスを仮想マシンではなくアプリのように動作させつつ、仮想マシンと同等（またはほぼ同等）のセキュリティ保証を維持することです。
サンドボックス環境が一度作成されると、デバイスの状態、CPU、メモリのスナップショットが取得され、後でより迅速に起動できるようになります。
同社はグラフィックスエコシステムのパートナーと協力し、サンドボックス内のユーザーインターフェースのハードウェアアクセラレーションを可能にするドライバー（Windows Display Driver Model バージョン2.5を使用）を開発しました。通常、仮想マシンはホストシステムから分離されているため、GPUにアクセスできません。
WDDM 2.5 互換ドライバー以降を搭載したデバイスのみが、サンドボックス化されたアプリケーションでハードウェアアクセラレーションによるレンダリングを利用できます。それ以外のデバイスでは、これらのグラフィックのレンダリングに CPU が使用されるため、動作が遅くなる場合があります。
Windows Sandboxは仮想マシンと全く同じセキュリティ保証を提供するわけではないかもしれませんが、それに近いセキュリティを提供しつつ、はるかに実用的であるように思われます。ほとんどのユーザーは、2019年前半にWindows 10 Builder 18305がリリースされる頃には、これを実際に試すことができるでしょう。
ルシアン・アルマスは、Tom's Hardware USの寄稿ライターです。ソフトウェア関連のニュースやプライバシーとセキュリティに関する問題を取り上げています。
