Was ist Cloud Sandbox?
Cloud Sandbox ist eine isolierte Cloud-Umgebung, in der unbekannte oder verdächtige Dateien ausgeführt und auf schädliches Verhalten geprüft werden, bevor sie an den Nutzer zugestellt werden. Statt nur bekannte Schadsoftware-Signaturen abzugleichen, beobachtet die Sandbox, was eine Datei tatsächlich tut: Versucht sie, andere Dateien zu verschlüsseln, Systemrechte zu erweitern oder Verbindungen zu verdächtigen Servern aufzubauen? Erst nach dieser Verhaltensprüfung entscheidet die Policy, ob die Datei zugestellt, blockiert oder isoliert wird. Das macht Sandboxing wirksam gegen Bedrohungen, für die es noch keine bekannte Signatur gibt.
Cloud Sandbox im Detail
In der ZIA-Architektur läuft die Sandbox-Prüfung inline im Datenstrom: Bevor eine Datei den Nutzer erreicht, prüft eine erste Stufe bekannte Bedrohungsmuster, unbekannte oder auffällige Dateien werden zusätzlich in der isolierten Umgebung ausgeführt und verhaltensbasiert analysiert. Die Ergebnisse fließen in die Policy-Entscheidung ein, ob die Zustellung erfolgt.
Abzugrenzen ist Cloud Sandbox von Browser Isolation: Sandboxing prüft Dateien vor der Zustellung, Browser Isolation rendert riskante Webinhalte in einer getrennten Umgebung und liefert nur ein sicheres Abbild an das Endgerät. Beide Mechanismen ergänzen sich, adressieren aber unterschiedliche Angriffswege.
Warum ist Cloud Sandbox im Zscaler-Betrieb wichtig?
Sandboxing ist eine der Funktionen, die in vielen Zscaler-Lizenzen enthalten, aber nicht überall aktiv konfiguriert sind. Wird sie nicht genutzt, bleibt ein bezahlter Schutzmechanismus ungenutzt und das Unternehmen bleibt anfälliger für unbekannte Schadsoftware, als es die Lizenz eigentlich hergibt.
Für den Betrieb zählt außerdem die Nachvollziehbarkeit: Wenn eine Sandbox-Entscheidung eine Datei blockiert, muss der Helpdesk erklären können, warum, ohne jedes Mal die Zscaler-Administration einzubeziehen.
Typische Fehlerquellen
- Sandboxing ist lizenziert, aber nicht für alle relevanten Dateitypen oder Kategorien aktiviert.
- Keine regelmäßige Prüfung, ob die Funktion überhaupt noch wie gewollt konfiguriert ist.
- Fehlende Kommunikation an Nutzer, warum eine Datei blockiert wurde, führt zu unnötigen Support-Tickets.
- Verwechslung von Sandboxing mit Virenschutz führt zu falschen Erwartungen an die Prüfgeschwindigkeit.
Cloud Sandbox in der Praxis: so hilft CentaurNexus
Policy Health Saga zeigt im Rahmen des Lizenz-Healthchecks, ob Cloud Sandbox aktiv konfiguriert ist und wie weit die gebuchte Lizenz tatsächlich ausgeschöpft wird, statt bezahlte Schutzfunktionen ungenutzt liegen zu lassen. Der Score macht sichtbar, wo Nachschärfen den größten Sicherheitsgewinn bringt. Mehr zur Lizenz-Ausschöpfung im Leitfaden Mehr aus der Zscaler-Lizenz holen.
Verwandte Begriffe
Häufige Fragen zu Cloud Sandbox
Klassischer Virenschutz vergleicht Dateien meist mit bekannten Signaturen. Eine Cloud Sandbox führt eine unbekannte Datei stattdessen in einer isolierten Umgebung tatsächlich aus und beobachtet ihr Verhalten, etwa ob sie versucht, Dateien zu verschlüsseln oder Verbindungen zu verdächtigen Servern aufzubauen. Das erkennt auch neue, noch nicht katalogisierte Bedrohungen.
Das hängt vom gewählten Policy-Modus ab. Bei „Allow and Scan“ darf die Datei sofort heruntergeladen werden, während die Sandbox parallel im Hintergrund analysiert; stuft sie die Datei erst im Nachhinein als schädlich ein, löst der Dienst dafür eine eigene Alarmierung aus. Bei „Quarantine“ wird die Datei erst nach abgeschlossener Analyse freigegeben. Eine KI-gestützte Sofortbewertung kann eindeutig bösartige Dateien bereits vor Abschluss der vollständigen Verhaltensanalyse blockieren.
In der Regel nur Dateien, die nach ersten Prüfungen als unbekannt oder potenziell riskant eingestuft werden, nicht der gesamte Datenverkehr. Welche Dateitypen und Kategorien einbezogen werden, legt die jeweilige Policy fest.
Nein. Regelbasierte Sandbox-Policies mit vollem Funktionsumfang setzen laut Zscaler eine eigene Lizenzstufe voraus (aktuell als „Advanced Sandbox“ bezeichnet); der genaue Zuschnitt der ZIA-Lizenzpakete kann sich ändern und ist im eigenen Vertrag zu prüfen. Ob eine Lizenz Sandboxing tatsächlich aktiv nutzt, lässt sich über einen Konfigurations-Check feststellen.
Die Datei wird nicht an den Nutzer ausgeliefert, die Policy blockiert die Zustellung und der Vorfall wird protokolliert. Wie genau nachfolgende Schritte wie Benachrichtigung oder Quarantäne im Detail ablaufen, hängt von der konfigurierten Richtlinie ab.
- Zscaler Help Portal: Configuring the Sandbox Policy - help.zscaler.com/zia/configuring-sandbox-policy
Hinweis: CentaurNexus ist ein unabhängiges Produkt der SourcingBlox GmbH und kein Angebot von Zscaler, Inc. Produkt- und Markennamen gehören ihren jeweiligen Inhabern.