Windows 10 Sandbox installieren, isolierte Umgebung ausführen

Unter der Haube läuft bei der Sandbox eine virtuelle Maschine. Wie bei den anderen Features der Virtualization based Security muss der Anwender aber nicht Hyper-V installieren oder ein eigenes Image für das Gast­betriebs­system bereit­stellen. All dies erfolgt automatisch im Hintergrund und damit transparent für den User.

Für diesen Zweck bringt die Sandbox kein virtuelles Laufwerk mit einem vollständigen Windows 10 mit, sondern nutzt die Binaries des Host-OS einfach mit (indem ihre VM über­wiegend Links auf die benötigten Dateien des Hosts enthält).

Sie teilt sich mit diesem die DLLs nicht nur auf der Platte, sondern auch im Arbeits­speicher. In dieser Hinsicht ähnelt die Sandbox mehr einem Container und weist im Vergleich zu einer konven­tionellen VM eine geringere Isolierung gegenüber den Host-OS auf.

Kein Zugriff auf das lokale Netzwerk

Während normale VMs unter Client Hyper-V eine relativ enge Integration gegenüber dem Host aufweisen, so dass Anwender Dateien dorthin kopieren oder Netz­laufwerke ansprechen können, schottet die Sandbox ihren Inhalt von der Umgebung weit­gehend ab. Außerdem enthält sie bei jedem Start ein frisches OS und verwirft beim Beenden sämtliche Änderungen.

So unterbindet sie den Zugriff auf File-Shares und umgekehrt auch die Freigabe von Verzeichnissen in der Sandbox. Der Daten­austausch zwischen Gast und Host ist einzig über Copy & Paste möglich. Wie bei Remotedesktop-Verbindungen üblich, kann man auf diese Weise auch Dateien über RDP kopieren.

Update: Seit dem Build 18342 lässt sich die Sandbox mit XML-Konfigu­rations­dateien des Typs .wsb anpassen. Damit kann man nicht nur die vGPU (de)aktivieren, sondern auch Host-Verzeichnisse für den Datenaustausch freigeben (siehe dazu meine Anleitung zur Konfiguration der Sandbox).

Power-User als Zielgruppe

Aufgrund ihrer Charakteristik stellt sich die Frage, für welche Szenarien und Anwender sich die Sandbox eignet. Während die Preview noch admini­strative Rechte für die Sandbox erforderte, läuft sie nun auch im Kontext von Standardbenutzern.

Daher können auch Endanwender, die Programme auf regulärem Weg nicht installieren dürfen, diese statt­dessen in der abgeschotteten Umgebung ausführen. Als Dauerzustand dürfte es allerdings ermüdend sein, bestimmte Anwendungen bei jedem Start der Sandbox neu zu installieren. Aber zum Experimentieren oder gelegentlichen Ausführen einer sonst nicht verfügbaren Software eigenet sich die Sandbox allemal.

Unter Usabilty-Gesichtspunkten kommt hinzu, dass für technisch weniger versierte Benutzer das Arbeiten in einem Desktop auf einem Desktop verwirrend sein dürfte.

Nachdem für nicht-technische User die wichtigste Anwendung für eine abgeschottete Umgebung der Web-Browser ist, emphiehlt sich stattdessen Application Guard. Damit läuft Edge nahtlos im Windows-Desktop.

Als naheliegendes Einsatz­gebiet käme jedoch eine Admin-Workstation in Frage. Microsoft empfiehlt beim Konzept der Privileged Admini­strative Workstation (PAW) eine strikte Trennung zwischen den Umgebungen, in der Management-Tools mit erhöhten Rechten laufen und jener, die für alltägliche Arbeiten dient (wie das Browsen im Web).

Mit der Sandbox ließe sich diese Best Practice einfach umsetzen, indem der System­verwalter die admini­strativen Aufgaben im Host-System erledigt und andere Tätigkeiten in die abgeschottete Umgebung verlagert.

Vorteile der Sandbox

Gegenüber einer normalen VM hat die Sandbox auf einer PAW gleich mehrere Vorteile:

• Es muss weder eine VM eingerichtet noch darin ein OS installiert werden
• Durch das Code-Sharing mit dem Host ist ihr Ressourcen­verbrauch moderat
• Kein Patch-Management ist erforderlich, da die Binaries des Host-OS mitgenutzt werden.
• Alle Benutzerdaten werden nach dem Beenden verworfen, und damit auch Malware. In einer normalen VM mit einer längeren Lebensdauer könnte sie sich einnisten.
• Die Sandbox gewährt keinen Zugriff auf Ressourcen im lokalen Netz und unterbindet so eine Ausbreitung von Schadprogrammen.

Es liegt auf der Hand, dass sich die Sandbox primär für Tätigkeiten eignet, für die Bordmittel wie der Edge-Browser zur Verfügung stehen. Portable Anwendungen lassen sich dort ebenfalls schnell bereitstellen, indem man sie über Copy & Paste in die Sandbox überträgt.

Installiert man Programme, dann gehen diese beim Beenden des Containers genauso verloren wie Benutzer­daten. Aus diesem Grund könnte sich die Sandbox auch für das Testen von unbekannter Software eignen.

Diese läuft im Kontext eines lokalen Sandbox-Users (WDAGUtilityAccount). Installationen, die einen Neustart des Systems verlangen, werden aber nicht unterstützt, ebensowenig Store Apps.

Installation und Systemvoraussetzungen

Windows Sandbox ist als optionales Feature an Bord und kann in die System­steuerung hinzugefügt werden. In der App Einstellungen, über die sich solche Zusatz­module ebenfalls verwalten lassen, fehlt aktuell die Sandbox.

Nachdem das Feature auf Hyper-V beruht, stellt es in puncto Hardware ähnliche Anfor­derungen wie der Hypervisor. Dazu gehören die Virtuali­sierungs­erweiterungen des Prozessors (mit mindestens zwei Cores) sowie realistisch 8GB RAM.

Wer die Windows Sandbox in einer VM ausprobieren möchte, muss für diese die verschachtelte Virtualisierung aktivieren (in der VMware Workstation virtualisiert man dafür Intel-VT bzw. AMD-V sowie die Performance Counter).

Als Editionen werden die Pro und Enterprise von Windows 10 ab Build 18305 benötigt.