容器和沙箱是在讨论恶意软件安全防护时常常提及的2个专业术语，许多公司想要知道哪一种方式最好是。回答是二者紧密结合，可是许多公司很有可能负担不起或欠缺布署这二种方式 的专业能力。为了更好地寻找合适你公司特殊要求的最好的选择，关键的是要掌握怎么使用他们。
在讨论沙箱和手机软件容器中间的差别前，你需要先知道一些事儿。如今，大部分公司早已将应用程序容器和虚拟化技术用以许多不一样目地，在其中许多与安全系数密切相关，主要包括：
- 她们应用VM在虚似大数据中心或IaaS中运作安全工具。
- 她们应用vm虚拟机管理流程作用(例如快照更新)来协助适用软件配置管理和修补。
- 她们应用容器来适用微服务架构和服务网格构架。
- 她们与此同时应用VM和容器来适用DevOps工具链中安全教育的自动化技术。
但是，在这篇文章中，大家将讨论怎么使用这种专用工具来专业适用沙箱。两年前，沙箱逐渐时兴，那时候大伙儿意识到恶意软件依然很有可能绕开杀毒软件并感柒互联网。病毒防护的问题取决于，全部系统软件都必须在计算机上安装根据签字的代理商，而且务必按时升级他们，为节点给予机遇来抵挡恶意软件。因为病毒防护并不可以捕获全部內容-即使维持其升级并安裝在工作平台，因此沙箱的应用逐渐提升。
VM沙箱安全性实体模型
从其本质上讲，沙箱是有关建立防护的单独自然环境，你可以将其适用于特殊安全性目地，例如FreeBSD。例如，针对反恶意软件，你能应用防护的沙箱点爆恶意软件样版以查询其个人行为。根据运作异常恶意软件样版并观查其个人行为，你能观查攻击方式，以掌握你为什么变成攻击总体目标。在不明手机软件的情形下，你能应用此办法来明确档案是不是可以可靠地在代管节点运作。假如此软件不实行一切故意实际操作，则可以将在其中继给终端用户。一样，针对异常的恶意软件样版，你能应用此技术性来进一步科学研究恶意软件。这可以让你了解你是不是繁杂攻击主题活动(例如专制制度)的总体目标，或是仅仅被智能机器人或脚本小子任意地做为总体目标。
vm虚拟机管理流程给予两种作用，使此技术性更安全性。最先，他们以没孔方法实行分段。在当代自然环境中，大家应用虚拟化技术，这代表着分段界限尤为重要。充分考虑目前许多公司应用多租户IaaS，大家很可能见到数据信息被盗取或是试着跨VM分段界限的攻击，例如公司可以从同一vm虚拟机管理流程上盗取数据信息、毁坏或以其它方法攻击别的VM。次之，vm虚拟机监管程序流程使我们有选择限定或阻拦VM可以实行的实际操作。例如，它可以预防工作中负荷在互联网上推送或获取数据，或是可以应用快照更新将受损的VM修复到已经知道靠谱情况。
在这样的形式下，根据vm虚拟机的沙箱取决于好几个vm虚拟机来捕获总流量，使其进到和排出互联网，并当做故意主题活动检验的检测点。这类沙箱的目地是获得不明文档，并之中一个VM中点爆他们，以明确该文件是不是可安全性安裝。因为恶意软件创作者可以应用多种多样躲避技术性来使文档看上去安全性，因而这并不一直万无一失的解决方法，但的确可给予附加的防御力层。
容器沙箱安全性实体模型
我们可以应用的另一种方式 是手机软件容器。现在有各种不同的布署方式。Docker和Rocket等专用工具可建立防护的应用程序自然环境;分段是在OS级别实行-在这样的情况下，应用Linux名字室内空间和cgroup。一些电脑操作系统中还内嵌了根据容器的配备，例如Linux中的chroot jails或Windows的Windows Sandbox。
从应用的方面看来，你能将容器中的任何內容特定为自始至终不会受到信赖，进而使你可以建立独立的防护自然环境，该环境不容易危害基本服务器。在这类应用状况下，该容器中的任何東西都被以为具备潜在的风险性。并且容器不容易试着明确档案是不是毁坏;它仅仅是阻拦恶意软件主题活动散播或毁坏基本服务器。例如，考虑到这样的事情，你担忧客户非常容易遭受偷渡者式免费下载攻击或别的虚报主题活动攻击。一种方式 是在应用程序沙箱中运作电脑浏览器，并在客户的访问对话进行后消除沙箱。客户搜集的一切潜在性恶意软件都是会与沙箱一起消除。
当选用这样的方法时，手机软件容器不容易应用病毒防护商品之类的签字。他们不容易阻拦攻击，仅仅限定攻击所干扰的范畴受，由于容器是围绕着特殊应用程序而搭建(以上实例中是电脑浏览器)，以防护攻击，避免攻击蔓延到电脑操作系统的其余一部分。
在许多情况下，这类办法会让容器将沙箱送到节点。你不需要担忧免费下载的资料的內容，只要让消费者运用完应用程序后将其重设为优良情况。
沙箱与容器的运用常见问题
到底是应用沙箱或是容器，这难以挑选，最好是在有可能的情形下与此同时应用二者。你的使用方法将在较大水平上决策方式。典型性的根据VM的沙箱方式很有可能涉及到系统软件选择异常文档-在其根据沙箱时。与传统的的杀毒软件对比，这很吸引人，因为它不用安裝代理商就可以搜索签字。相反，这代表它有可能寻找并恰当标识沒有前兆的恶意软件样版。
另一方面，另一个测试用例是应用手机软件容器在高危应用程序(例如客户的电脑浏览器)周边建立隔离墙。这类方式 通常较为繁杂，而且取决于节点和/或应用程序的配备。
为了更好地明确哪一种专用工具最合适你，请试着明确现阶段哪个地区对你的自然环境组成较大的风险性，并确认这种选择项中的哪一个将给你给予最高的早期维护。你期待加强对电子邮箱恶意软件的抵挡?在这样的情况下，集成化到电子邮箱网关ip中的根据VM的方式可能是非常好的挑选。你是想降低偷渡者式免费下载等攻击?在这样的情况下，手机软件沙箱很有可能更合适你。
哪一种构架最合适你的自然环境在于你的构架，可是掌握容器和沙箱中间的差异毫无疑问是第一步。