如何透過主機資料夾掛載與停用網路進行惡意軟體隔離

Question

如何透過主機資料夾掛載與停用網路進行惡意軟體隔離

Ping Wang 60

我們的 malware 分析團隊非常依賴 Windows Sandbox 來隔離可疑檔案。在預設情況下，沙盒環境是完全乾淨且無菌的。我們該如何編寫一個自訂的 .wsb XML 組織設定檔案相容架構, 以便將主機上的特定資料夾以唯讀（read-only）模式掛載到沙盒中，同時在容器內部完全停用網路存取？

0 則留言

1 個回答

您的回答

Answer 1

您好，

Windows Sandbox 支援透過 .wsb XML 設定檔進行自訂配置，讓您可以定義資料夾掛載方式以及網路行為。

若要將主機上的資料夾以**唯讀（Read-Only）**模式掛載到 Sandbox 中，可使用 <MappedFolders> 元素，並將 <ReadOnly> 設定為 true。例如：

<MappedFolders>
  <MappedFolder>
    <HostFolder>C:\Samples</HostFolder>
    <ReadOnly>true</ReadOnly>
  </MappedFolder>
</MappedFolders>

若要完全停用網路存取，則可以在設定檔中加入 <Networking>Disable</Networking> 元素。如此一來，Sandbox 將在沒有任何外部網路連線的情況下執行，非常適合用於隔離及分析惡意程式樣本。

結合上述兩項設定後，您便可建立一個乾淨且隔離的測試環境，具備受控的檔案存取權限，同時完全沒有網路暴露的風險。

最佳實務建議是，將所有掛載的資料夾都設定為唯讀，以避免惡意程式修改主機上的檔案；此外，建議在 Sandbox 外部進行日誌記錄，以保存分析結果。同時，也建議先在非正式生產環境的電腦上測試 .wsb 設定檔，確認其運作符合預期後，再部署到更廣泛的環境中。

如果這則回覆對您有所幫助，煩請點擊 「接受答案（Accept Answer）」。

Jason.