Wat is Cloud Sandbox?
Cloud Sandbox is een geïsoleerde cloudomgeving waarin onbekende of verdachte bestanden worden uitgevoerd en gecontroleerd op schadelijk gedrag, voordat ze aan de gebruiker worden afgeleverd. In plaats van alleen bekende malware-signaturen te vergelijken, observeert de sandbox wat een bestand daadwerkelijk doet: probeert het andere bestanden te versleutelen, systeemrechten uit te breiden of verbindingen met verdachte servers op te zetten? Pas na deze gedragsanalyse beslist de policy of het bestand wordt afgeleverd, geblokkeerd of geïsoleerd. Dat maakt sandboxing effectief tegen bedreigingen waarvoor nog geen bekende signatuur bestaat.
Cloud Sandbox in detail
In de ZIA-architectuur verloopt de sandboxcontrole inline in de datastroom: voordat een bestand de gebruiker bereikt, controleert een eerste laag bekende dreigingspatronen; onbekende of opvallende bestanden worden bovendien in de geïsoleerde omgeving uitgevoerd en op basis van hun gedrag geanalyseerd. De resultaten stromen door in de policy-beslissing over aflevering.
Cloud Sandbox moet worden onderscheiden van Browser Isolation: sandboxing controleert bestanden vóór aflevering, Browser Isolation rendert risicovolle webinhoud in een gescheiden omgeving en levert alleen een veilige weergave aan het eindapparaat. Beide mechanismen vullen elkaar aan, maar richten zich op verschillende aanvalswegen.
Waarom telt Cloud Sandbox in de Zscaler-praktijk?
Sandboxing is een van de functies die in veel Zscaler-licenties zitten, maar niet overal actief geconfigureerd zijn. Wordt het niet gebruikt, dan blijft een betaald beschermingsmechanisme ongebruikt en blijft de organisatie kwetsbaarder voor onbekende malware dan de licentie eigenlijk toelaat.
Voor de praktijk telt bovendien de navolgbaarheid: wanneer een sandboxbeslissing een bestand blokkeert, moet de helpdesk kunnen uitleggen waarom, zonder daarvoor telkens de Zscaler-administratie erbij te halen.
Veelvoorkomende foutbronnen
- Sandboxing is gelicentieerd, maar niet voor alle relevante bestandstypen of categorieën geactiveerd.
- Geen regelmatige controle of de functie nog wel werkt zoals bedoeld is geconfigureerd.
- Ontbrekende communicatie naar gebruikers over waarom een bestand is geblokkeerd, leidt tot onnodige support-tickets.
- Sandboxing verward met virusbescherming leidt tot verkeerde verwachtingen over de controlesnelheid.
Cloud Sandbox in de praktijk: wat CentaurNexus bijdraagt
Policy Health Saga toont in het kader van de license-healthcheck of Cloud Sandbox actief is geconfigureerd en in hoeverre de afgenomen licentie daadwerkelijk wordt benut, in plaats van betaalde beschermingsfuncties ongebruikt te laten. De score maakt zichtbaar waar bijstellen de grootste veiligheidswinst oplevert. Meer over het benutten van de licentie leest u in de gids Meer uit uw Zscaler-licentie halen.
Cloud Sandbox in de praktijk: waaraan u het herkent
Sandboxtickets draaien bijna altijd om tijd: de gebruiker wacht, of het bestand was er al voordat het oordeel er was. Drie onderscheidingen verhelderen de meeste gevallen.
„Het bestand kwam erdoor, terwijl het schadelijk was."
Wat het meestal is: De doorslaggevende vraag is of het bestand al bekend was. Een bekend patroon wordt meteen beoordeeld, een onbekend patroon moet eerst worden uitgevoerd.
Hoe u het uit elkaar houdt: Hoe wordt omgegaan met de eerste uitvoering van een onbekend patroon, is een instelling, geen eigenschap van de sandbox. Precies daar wordt beslist of iemand wacht of het bestand alvast wordt afgeleverd.
„De gebruiker wacht al minuten op de download."
Wat het meestal is: Dan wordt er op het oordeel gewacht. Dat is bedoeld zo en de veiligere weg, maar het hoort aan de gebruiker te worden uitgelegd, anders haalt hij het bestand via een andere weg binnen.
Hoe u het uit elkaar houdt: De wachttijd is geen fout. Een begrijpelijke terugkoppeling aan de gebruiker voorkomt de omweg die de controle omzeilt.
„De sandbox zegt schoon, onze virusscanner niet."
Wat het meestal is: Twee verschillende controles met verschillende criteria. Een gedragsanalyse in een afgeschermde omgeving en een signatuurgebaseerde controle op het apparaat kunnen verschillend uitpakken, zonder dat een van beide het mis heeft.
Hoe u het uit elkaar houdt: Beide bevindingen horen naast elkaar in het dossier, niet tegenover elkaar. De tegenspraak is de informatie.
„Bestanden uit de ontwikkeling worden voortdurend opgehouden."
Wat het meestal is: Een terugkerend conflict tussen controle en ontwikkelwerk, dat via losse uitzonderingen zelden goed wordt opgelost.
Hoe u het uit elkaar houdt: Sandbox Clear regelt daarvoor een tijdelijk vrijgavetraject voor ontwikkel- en testomgevingen, in plaats van een permanente uitzondering te creëren.
Bekend of onbekend, wachten of vooraf afleveren, gedrag of signatuur: deze drie assen verklaren bijna elk sandboxticket, voordat iemand het bestand zelf bekijkt.
Verwante begrippen
Veelgestelde vragen over Cloud Sandbox
Klassieke virusbescherming vergelijkt bestanden meestal met bekende signaturen. Een Cloud Sandbox voert een onbekend bestand in plaats daarvan daadwerkelijk uit in een geïsoleerde omgeving en observeert het gedrag ervan, bijvoorbeeld of het probeert bestanden te versleutelen of verbindingen met verdachte servers op te zetten. Dat herkent ook nieuwe, nog niet gecatalogiseerde bedreigingen.
Dat hangt af van de gekozen policy-modus. Bij „Allow and Scan" mag het bestand meteen worden gedownload, terwijl de sandbox parallel op de achtergrond analyseert; stuft de dienst het bestand achteraf alsnog als schadelijk in, dan wordt daarvoor een eigen melding geactiveerd. Bij „Quarantine" wordt het bestand pas na afronding van de analyse vrijgegeven. Een AI-ondersteunde directe beoordeling kan eenduidig kwaadaardige bestanden al blokkeren voordat de volledige gedragsanalyse is afgerond.
In de regel alleen bestanden die na eerste controles als onbekend of potentieel risicovol worden ingeschaald, niet het volledige dataverkeer. Welke bestandstypen en categorieën worden meegenomen, legt de betreffende policy vast.
Nee. Regelgebaseerde sandbox-policy's met de volledige functieomvang vereisen volgens Zscaler een eigen licentieniveau (momenteel aangeduid als „Advanced Sandbox"); de precieze indeling van de ZIA-licentiepakketten kan wijzigen en is in het eigen contract na te gaan. Of een licentie sandboxing daadwerkelijk actief gebruikt, is via een configuratiecontrole vast te stellen.
Het bestand wordt niet aan de gebruiker afgeleverd, de policy blokkeert de aflevering en het incident wordt gelogd. Hoe vervolgstappen zoals melding of quarantaine precies verlopen, hangt af van het geconfigureerde beleid.
- Zscaler Help Portal: Configuring the Sandbox Policy - help.zscaler.com/zia/configuring-sandbox-policy
Let op: CentaurNexus is een onafhankelijk product van SourcingBlox GmbH en geen aanbod van Zscaler, Inc. Product- en merknamen behoren toe aan hun respectieve eigenaren.