sandboxing linków

Sandboxing linków to sprawdzanie odnośnika w izolowanym środowisku przed umożliwieniem odbiorcy jego otwarcia.

Jak działa izolowane otwieranie odnośnika

Sandboxing linków to mechanizm bezpieczeństwa, w którym odnośnik jest analizowany przed udostępnieniem go użytkownikowi albo otwierany w odizolowanym środowisku zamiast bezpośrednio w jego przeglądarce. System może pobrać treść wskazywanej strony, wykonać jej kod JavaScript, obsłużyć przekierowania i sprawdzić, jakie pliki są proponowane do pobrania. Izolacja ogranicza możliwość oddziaływania badanego materiału na właściwy system operacyjny, profil przeglądarki i pliki użytkownika.

W praktyce odnośnik może zostać przeanalizowany przez bramę pocztową, filtr bezpieczeństwa, przeglądarkę, oprogramowanie antywirusowe albo usługę ochrony sieci. Nie każdy system stosuje pełną wirtualną maszynę. Czasem używany jest kontener procesu, ograniczony profil przeglądarki, środowisko emulowane lub zestaw reguł kontrolujących dostęp do systemu plików i sieci. Wspólną cechą jest oddzielenie analizy od komputera, na którym pracuje odbiorca.

Elementy analizowane przed otwarciem strony

Podstawowa kontrola obejmuje adres URL, domenę, certyfikat TLS, historię przekierowań oraz zgodność nazwy domeny z treścią odnośnika. System może sprawdzić, czy adres prowadzi do strony podszywającej się pod bank, usługę pocztową, sklep lub panel logowania. Analizowane bywają również parametry zapytania, skrócone odnośniki i odnośniki osadzone w załącznikach lub dokumentach. Sam fakt użycia HTTPS nie potwierdza, że strona jest bezpieczna, ponieważ szyfrowanie połączenia chroni transport, ale nie określa intencji właściciela witryny.

W środowisku izolowanym obserwuje się zachowanie strony po załadowaniu. Sprawdzane jest między innymi tworzenie nowych procesów, próby pobierania plików, modyfikowanie ustawień przeglądarki, dostęp do schowka, żądania nietypowych uprawnień oraz połączenia z kolejnymi domenami. Jeżeli strona wymaga logowania, system testowy nie powinien otrzymywać prawdziwych danych uwierzytelniających. Wynikiem analizy może być klasyfikacja odnośnika jako bezpiecznego, podejrzanego, złośliwego albo niemożliwego do rozstrzygnięcia.

Dlaczego wynik sandboxingu nie jest ostatecznym dowodem

Izolowane środowisko nie gwarantuje wykrycia każdego zagrożenia. Złośliwa strona może rozpoznawać typowe cechy środowiska testowego, opóźniać właściwe działanie, wymagać interakcji użytkownika albo prezentować inną treść zależnie od adresu IP, języka, przeglądarki i czasu. Niektóre ataki są uruchamiane dopiero po kliknięciu elementu strony, wpisaniu danych, pobraniu pliku lub wykonaniu makra w osobnym programie. Analiza odnośnika może więc nie odtworzyć pełnego scenariusza użycia.

Znaczenie ma także aktualność sygnatur, list reputacyjnych i komponentów używanych przez system kontrolny. Nowa domena może nie mieć jeszcze historii, a legalna witryna może zostać przejęta dopiero po zakończeniu wcześniejszej analizy. Zdarzają się również fałszywe alarmy, gdy strona korzysta z nietypowych skryptów, wielu przekierowań albo mechanizmów reklamowych. Z tego powodu sandboxing linków powinien współpracować z filtrowaniem reputacyjnym, ochroną przeglądarki, kontrolą pobieranych plików i ostrożnością użytkownika.

Objawy problemów z obsługą bezpiecznych odnośników

Nieprawidłowe działanie mechanizmu może objawiać się ostrzeżeniami przy odnośnikach, które wcześniej działały poprawnie, długim oczekiwaniem na przekierowanie, blokowaniem stron potrzebnych do pracy albo otwieraniem adresu w specjalnym podglądzie zamiast w zwykłej karcie. Przyczyną może być uszkodzone rozszerzenie przeglądarki, nieaktualny moduł ochrony, błędny filtr DNS, niezgodny certyfikat, problem z datą i godziną systemową lub konflikt kilku programów analizujących ruch sieciowy. Sam komunikat o blokadzie nie wskazuje jeszcze, który element zawiódł.

Podczas diagnostyki warto ustalić, czy problem dotyczy jednego odnośnika, całej domeny, konkretnej przeglądarki czy wszystkich urządzeń w tej samej sieci. Należy zachować dokładny adres, komunikat ostrzegawczy i informację o czasie wystąpienia problemu, ale nie wprowadzać danych logowania do niezweryfikowanej strony. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, dlatego w przypadku problemów z przeglądarką, oprogramowaniem ochronnym lub działaniem systemu można zlecić sprawdzenie konfiguracji urządzenia.