Qué es un sandbox (sandboxing) y cómo lo usa el cortafuegos contra el malware nuevo

Un sandbox (en inglés, «cajón de arena») es un entorno cerrado donde se deja ejecutar un programa o abrir un archivo del que no nos fiamos, para ver qué hace sin que pueda tocar el resto del sistema. El glosario del NIST, el instituto de normas de Estados Unidos, lo define como un entorno de ejecución restringido y controlado que impide al software potencialmente malicioso acceder a los recursos del sistema, salvo a los que tiene autorizados. Al hecho de usarlo se le llama sandboxing.

La idea sirve para muchas cosas: el navegador aísla las páginas, Windows trae su propio espacio aislado y los analistas de malware trabajan en máquinas virtuales desechables. En un cortafuegos tiene un uso muy concreto: detectar el malware que todavía no conoce nadie.

Por qué hace falta: firmas frente a comportamiento

INCIBE explica que los antivirus detectan el malware de dos formas:

• Por firmas: el archivo se compara con una base de datos de muestras ya identificadas. Es rápido, pero solo detecta lo conocido, y entre que aparece un malware nuevo y llega su firma queda una ventana sin protección.
• Por heurística: se puntúa lo que hace o haría el archivo, como cambiar el registro o conectarse a otro equipo, y si pasa de un umbral se trata como amenaza.

Dentro de la heurística, INCIBE distingue el análisis activo: el que ejecuta la muestra en un entorno seguro o sandbox para ver su comportamiento y decidir si es malware. Eso es justo lo que hacen los cortafuegos de nueva generación con los archivos que no reconocen. INCIBE avisa también de sus inconvenientes, los falsos positivos y la carga de trabajo, y aconseja no elegir un método u otro, sino tener los dos activos.

Cómo funciona en un cortafuegos

Los tres fabricantes de esta guía lo resuelven de forma parecida. Con el ejemplo de WatchGuard y Palo Alto Networks, el recorrido de un archivo es este:

1. El archivo entra por la web, el correo o una descarga y pasa por el antivirus del cortafuegos.
2. Se calcula su huella (un hash) y se pregunta a la nube del fabricante si ese archivo ya se analizó. WatchGuard envía un hash MD5 por HTTPS y, si ya lo conoce, devuelve el resultado al momento.
3. Si es nuevo, se envía entero al sandbox, que lo ejecuta y registra lo que hace.
4. Llega el veredicto. Palo Alto lo clasifica como benigno, grayware (software no deseado, sin llegar a malicioso), phishing o malicioso.
5. Se crea una protección para todos. Palo Alto genera firmas para el malware recién descubierto y las pone a disposición de todos sus cortafuegos, de modo que lo que detecta uno lo bloquean los demás.

En Fortinet y WatchGuard el sandbox forma parte del antivirus de pasarela: en FortiGate hay que activar en el perfil de antivirus el envío de archivos a FortiSandbox, y en un Firebox, APT Blocker solo analiza lo que ya pasa por el antivirus en una política de proxy.

Lo que ofrecen tres fabricantes

Todos se contratan como suscripción aparte o dentro de un paquete de servicios. Las guías de Fortinet FortiGate, Palo Alto Networks y WatchGuard Firebox explican qué incluye cada paquete.

¿Se retiene el archivo o se deja pasar?

El análisis tarda, y el cortafuegos tiene que decidir qué hace con la descarga mientras tanto. Hay dos maneras:

• Retenerlo hasta el veredicto. Es el análisis en línea (inline) de Fortinet: el archivo del usuario se queda en espera mientras se envía al sandbox y, cuando llega el resultado, se aplica la acción. Si el sandbox falla o no contesta a tiempo, decide la configuración del FortiGate.
• Dejarlo pasar y avisar. Es el análisis posterior a la transferencia de Fortinet y lo que hace APT Blocker en casi todos los proxies: la conexión sigue mientras se espera el resultado, y si el archivo resulta malicioso se genera una alarma y la protección sirve para las siguientes veces. Las excepciones de WatchGuard son los proxies de correo SMTP e IMAP.

Esto es criterio de esta web: dejar pasar el archivo no estorba al usuario, pero el primero que lo descarga queda expuesto, así que conviene que la alarma llegue a alguien que pueda actuar en ese equipo. Retenerlo protege más a cambio de esperas en las descargas.

Lo que el sandbox no ve

• El tráfico cifrado, si no se inspecciona. Casi todo llega por HTTPS. WatchGuard solo analiza el tráfico HTTPS con APT Blocker si está activa la inspección de contenido en el proxy HTTPS; sin ella, el cortafuegos no ve el archivo. La guía de proxy y cortafuegos explica cómo funciona un proxy.
• Los archivos grandes y los tipos no admitidos. En APT Blocker, lo que pasa de 10 MB no se envía a analizar (desde Fireware 12.3 Update 1 se consulta al menos su huella) y solo entran los tipos de su lista. WatchGuard justifica el límite en que la mayoría del malware llega en archivos de menos de 1 MB.
• El malware que se esconde del sandbox. MITRE ATT&CK, el catálogo de técnicas de ataque, recoge la técnica T1497: el malware comprueba si está en una máquina virtual o en un sandbox y, si lo detecta, cambia su comportamiento, no hace nada o espera. Para ello busca rastros del sistema, mira si hay actividad real de un usuario o usa temporizadores y bucles para agotar el tiempo de análisis. MITRE cita decenas de casos, como Agent Tesla o RedLine Stealer, y reconoce que esta técnica no se puede frenar fácilmente con controles preventivos.

Por eso el sandbox es una capa más, no la única: el cortafuegos sigue necesitando sus firmas, el IPS y el filtrado web, y los equipos su propio antivirus.

Y los archivos de la empresa, ¿adónde van?

Con el sandbox en la nube, los archivos desconocidos salen de la empresa hacia el fabricante. Cada uno da opciones distintas:

• Fortinet deja elegir la región donde se analiza el tráfico (Europa, global, Japón o Estados Unidos) para cumplir las normas de cada país sobre dónde se guardan los datos, o tener el FortiSandbox en casa.
• Palo Alto permite una nube privada local, o un modelo híbrido en el que unos archivos van a la nube pública y otros a la privada.
• WatchGuard dice que los datos enviados se borran automáticamente al terminar el análisis, y ofrece un servidor local para quien no quiera que salgan.

Esto es criterio de esta web: si la empresa maneja datos sensibles o está sujeta al Esquema Nacional de Seguridad, merece la pena decidir esto antes de activar el servicio y no después.

El sandbox de tu propio ordenador: el Espacio aislado de Windows

No hace falta un cortafuegos para usar un sandbox. Windows 10 y 11 traen el Espacio aislado de Windows (Windows Sandbox), que según Microsoft es un escritorio ligero y aislado del equipo mediante el hipervisor:

• Está en las ediciones Pro, Enterprise y Education, pero no en Windows Home.
• Es desechable: cada vez que se abre es un Windows limpio y, al cerrarlo, se borran los programas, los archivos y todo lo demás. Desde Windows 11 22H2 los datos aguantan los reinicios hechos dentro del propio espacio aislado.
• Solo puede haber uno abierto a la vez.
• La red viene activada. Microsoft avisa de que eso puede exponer a la red interna lo que se ejecute dentro, y recomienda, para abrir adjuntos o programas dudosos, desactivar la red y compartir la carpeta del archivo en modo de solo lectura.

Es útil para abrir un adjunto raro o probar un programa antes de instalarlo, pero no protege nada de lo que llega a la red. Para eso está el cortafuegos, y para el propio equipo, el Firewall de Windows.

¿Lo necesita una pyme?

Esto es criterio de esta web: el sandbox ataca justo el punto débil de las firmas, el malware nuevo que llega en un adjunto o una descarga, que es por donde suele entrar el ransomware. Si se compra un cortafuegos de nueva generación o un UTM con licencias de seguridad, conviene mirar si el paquete elegido lo incluye, y comprobar después que de verdad funciona: que la inspección HTTPS está activa y que los avisos del sandbox llegan a alguien.