Cuando los antivirus ejecutan alguna aplicación en un entorno virtual denominado "zona de pruebas", ¿cómo funciona este entorno limitado desde el punto de vista del núcleo de Windows?Qué es un Sandbox
¿Es difícil escribir una caja de arena?
En un nivel alto tales sandboxes son controladores de núcleo que interceptan llamadas a API, y modifican los resultados que esas API devuelven usando enganche. Sin embargo, la forma en que toda una solución de espacio aislado funciona bajo el capó podría llenar fácilmente varios libros.
En cuanto a la dificultad, es probablemente una de las cosas más difíciles que puedas escribir. No solo tiene que proporcionar ganchos para casi todo lo que proporciona el kernel del sistema operativo, sino que debe evitar que la aplicación acceda al espacio de memoria de otros procesos, debe tener una forma de guardar el estado de los cambios que hace un programa. que el programa no se da cuenta de que se está ejecutando en una caja de arena. Tienes que hacer todo esto en el modo Núcleo, lo que efectivamente te limita a usar C y te obliga a manejar diferentes tipos de memoria, p. grupo paginado y grupo no paginado. Ah, y tiene que hacer todo esto muy muy rápido, para que el usuario sienta que vale la pena ejecutar aplicaciones dentro de su entorno limitado. La mayoría de los usuarios no tolerará el 50% de visitas de rendimiento.
En cuanto al punto de rendimiento, no se trata solo de aplicaciones de usuario, una estrategia utilizada por algunos programas AV es ejecutar el código que se examina en una copia virtual del entorno y buscar actividad sospechosa. Eso también tiene requisitos de rendimiento, por supuesto, especialmente cuando se escanean muchos archivos a la vez, pero la capacidad de respuesta de la IU del código bajo prueba no es relevante. –
@Steve: Esa es una forma de implementar herramientas A/V, pero eso no es un sandbox. Es un sistema de prevención de intrusiones basado en host (HIPS). Esas son sustancialmente menos difíciles que las verdaderas cajas de arena. –
Chicos, ¿hay libros sobre temas como estos? – Cartesius00