Se você costuma baixar programas, abrir anexos de e-mail ou experimentar ferramentas de fontes duvidosas, ter um ambiente seguro e descartável dentro do Windows É quase obrigatório. É aí que entra o Windows Sandbox, um recurso integrado às edições profissionais do Windows que permite executar testes sem comprometer o sistema principal.
Com o Windows Sandbox, você pode iniciar um Windows limpo, virtual e temporárioUse-o como se fosse seu próprio computador e, ao fechá-lo, você perderá absolutamente tudo o que aconteceu dentro dele. Sem resquícios de software, sem configurações, sem malware persistente: é como começar com um sistema totalmente novo e intocado a cada vez que você o abre.
O que é o Windows Sandbox e como funciona o seu isolamento?
Windows Sandbox, chamado em espanhol Sandbox do Windows (WSB)É um ambiente de desktop leve que roda dentro do seu próprio sistema usando virtualização de hardware. Na prática, é semelhante a ter uma máquina virtual, mas sem a necessidade de instalar um sistema operacional adicional ou lidar com configurações complexas.
Este espaço isolado depende do hipervisor da Microsoft e do virtualização baseada em hardware para isolar o kernelEm outras palavras, o sistema operacional em execução dentro do Sandbox possui seu próprio kernel, separado do seu sistema Windows principal, o que reduz drasticamente a possibilidade de um programa malicioso escapar para o sistema hospedeiro.
Uma de suas grandes vantagens é que se trata de um ambiente descartáveis e efêmerosCada vez que você abre o programa, uma nova instância limpa é criada, como se você tivesse instalado o Windows do zero naquele instante. Assim que você fecha a janela, todas as alterações, arquivos e configurações aplicadas são descartadas.
O software que você instalou em seu sistema principal. Não é copiado automaticamente dentro da Sandbox.Qualquer coisa que você queira usar no espaço isolado terá que ser instalada explicitamente lá ou copiada do host usando a área de transferência ou pastas atribuídas. Isso faz parte do isolamento: nada é compartilhado a menos que você opte por permitir.
Para alcançar tempos de inicialização muito rápidos e reduzir o consumo de recursos, o Windows Sandbox utiliza técnicas de otimização de memória e um ambiente mínimoNão se trata de uma máquina virtual pesada com dezenas de gigabytes de espaço em disco reservado, mas sim de uma instância leve criada dinamicamente com um máximo de cerca de 4 GB de memória por padrão e armazenamento virtual que não é retido.
Principais funcionalidades do Windows Sandbox
Uma das coisas mais interessantes sobre essa funcionalidade é que Faz parte do próprio Windows. Nas versões profissionais, não é necessário baixar imagens ISO nem gerenciadores de máquinas virtuais de terceiros. Se você tiver uma versão compatível, basta ativar o recurso e pronto.
O ambiente é completamente Limpo em todas as execuções.Sempre que você inicia o Windows Sandbox, uma instalação limpa é criada, sem nenhum software adicional, sem resquícios de configurações anteriores e sem modificações prévias. É perfeito se você quiser testar um programa "como se fosse a primeira vez", sem bibliotecas ou dados que possam afetar o resultado.
Outro elemento fundamental é a segurança. O isolamento é obtido através da combinação de diversos fatores. virtualização, AppContainer (em modo cliente protegido) e uma separação rigorosa entre processos, redes, dispositivos e credenciais. Dessa forma, mesmo que você execute um malware no sandbox, as chances de ele afetar o host são mínimas.
O desempenho é muito bom. O Windows Sandbox geralmente demora um pouco. A inicialização leva apenas alguns segundos.Ele utiliza uma GPU virtual (vGPU) em sistemas x64 quando ativada e gerencia a memória de forma eficiente para evitar o consumo excessivo de recursos. Embora não seja tão leve quanto um aplicativo nativo, seu desempenho é significativamente melhor do que o de uma máquina virtual tradicional, que consome muitos recursos.
Por fim, foi projetado para que qualquer usuário possa utilizá-lo sem ser um especialista. Com um simples clique, você pode abrir um ambiente completamente novo Para testar instaladores, visitar sites suspeitos ou executar scripts. E se você tiver mais conhecimento técnico, pode ajustá-lo usando arquivos de configuração .wsb.
Usos práticos do isolamento Sandbox no Windows
Um dos casos de uso mais comuns é ter um Ambiente limpo para testar novos softwaresDesenvolvedores, técnicos de suporte ou usuários avançados podem instalar versões beta, versões de teste ou programas pouco conhecidos sem "poluir" seu sistema principal.
Também é muito conveniente para realizar um Navegação na web mais segura Quando você precisa acessar sites suspeitos, downloads potencialmente perigosos ou portais nos quais não confia, você abre o Sandbox, navega com o navegador integrado e, se algo der errado, basta fechar a janela e tudo desaparece.
O isolamento é especialmente útil ao abrir anexos e executáveis não confiáveisComo, por exemplo, documentos recebidos por e-mail de remetentes desconhecidos ou utilitários portáteis baixados de fóruns. Você pode copiar o arquivo para o Sandbox, abri-lo lá e, se for detectado como malicioso, ele será interceptado nesse ambiente.
Outro cenário muito prático é o primeiro contato com novos programas, complementos ou extensõesAntes de instalar algo no seu sistema Windows principal, você pode testá-lo no Sandbox, verificar seu comportamento e decidir se vale a pena integrá-lo ao seu sistema de trabalho diário.
Por fim, muitos desenvolvedores aproveitam os ambientes isolados (sandbox) para realizar a manutenção. múltiplos ambientes de teste bem separadosPor exemplo, você pode usá-lo para testar diferentes versões do Python com diferentes dependências, ou diferentes combinações de bibliotecas e configurações, sem precisar configurar várias máquinas virtuais permanentes.
Edições e licenciamento do Windows compatíveis
Para usar essa função, é essencial ter um Edição profissional ou educacional do WindowsO Windows Sandbox está disponível no Windows Pro, Windows Enterprise, Windows Pro Education/SE e Windows Education, incluindo suas variantes equivalentes no Windows 11.
As licenças que concedem o direito de usar o Windows Sandbox incluem: Windows Pro e Pro Education/SEbem como assinaturas do Windows Enterprise E3 e E5 e edições educacionais do Windows Education A3 e A5. Na prática, se o seu computador veio com uma versão Pro ou se você está em um ambiente corporativo com a versão Enterprise, você poderá ativá-la.
Se você estiver usando o Windows Home, não poderá ativar o Windows Sandbox nativamente. Nesses casos, a alternativa seria usar... soluções de virtualização clássicas (Hyper-V, VirtualBox, VMware, etc.), mas você perderia a fácil integração e a possibilidade de descartá-las com um único clique que esse recurso oferece.
Requisitos de hardware e virtualização
Além de possuir a versão correta do Windows, seu computador deve atender a uma série de requisitos. requisitos mínimos de hardware e virtualização para que o isolamento do Sandbox funcione corretamente e com segurança.
Por um lado, um Processador de 64 bits com suporte para virtualização e pelo menos dois núcleos físicos; a Microsoft recomenda quatro núcleos com hyperthreading para melhor desempenho. Na prática, a maioria dos processadores lançados nos últimos anos atende a esses requisitos sem problemas.
Em relação à memória, o sistema precisa um mínimo de 4 GB de RAM Para conseguir iniciar o Windows Sandbox, embora seja recomendável ter 8 GB ou mais de espaço em disco para uma experiência mais fluida, especialmente se você trabalha com aplicativos pesados simultaneamente no host e no ambiente isolado.
Em relação ao armazenamento, pelo menos 1 GB de espaço livre em discoIdealmente, um SSD deve ser usado para criação e destruição de ambientes mais rápidas e operações internas mais fluidas. O sandbox não cria um disco rígido persistente tradicional, mas requer espaço temporário.
Por fim, é obrigatório que o As opções de virtualização devem estar habilitadas na BIOS ou UEFI. do seu computador (Intel VT-x/VT-d, AMD-V, etc.). Esta é a base que o Hyper-V usa para criar o ambiente de hardware separado. Se a virtualização estiver desativada, o Sandbox não será iniciado.
Como habilitar a virtualização na BIOS
Para que o isolamento do Sandbox seja eficaz, o Windows depende de Hyper-V e virtualização de hardware da CPUEmbora muitos processadores tenham esse recurso ativado por padrão, em outros casos é necessário ativá-lo manualmente na BIOS ou UEFI.
O processo específico depende do fabricante da sua placa-mãe, mas geralmente você precisará de Acesse a BIOS ao ligar o computador.Isso geralmente é feito pressionando teclas como Delete, F2, F10 ou F12 logo na inicialização. Alguns laptops exibem uma mensagem na tela indicando qual tecla usar.
Uma vez lá dentro, você deve procurar a seção relacionada a CPU, segurança avançada ou configuração do sistemaonde a opção de virtualização geralmente é encontrada. O nome exato varia: Virtualização, Tecnologia de Virtualização Intel, VT-x, VT-d, SVM, Extensões do Modo de Monitoramento de Máquina Virtual, Hyper-V, RVI, etc.
Após localizar essa opção, certifique-se de que ela esteja ativada. Salve as alterações no menu correspondente (Salvar e Sair ou similar) e deixe o computador reiniciar para que a virtualização seja ativada no nível do hardware.
Lembre-se de que algumas CPUs integram virtualização sem permitir modificações na BIOS, portanto Você não verá nenhuma opção, mas a funcionalidade já estará habilitada.Nesses casos, se você atender aos outros requisitos, o Windows Sandbox ainda deverá funcionar.
Como ativar o Windows Sandbox no Windows
Após confirmar que sua edição do Windows é compatível e que a virtualização está pronta, o próximo passo é Ative o recurso Sandbox do Windows, visto que está desativado por padrão no sistema.
Para fazer isso, abra a barra de pesquisa do Windows e comece a digitar “Ativar ou desativar recursos do Windows”. Quando o resultado aparecer, clique nele e uma janela será aberta com uma lista de recursos opcionais do sistema que você pode ativar ou desativar.
Nessa lista, localize a entrada. “Caixa de areia do Windows”Marque a caixa à sua esquerda e confirme as alterações. O Windows fará o download e configurará os componentes necessários; esse processo pode levar alguns minutos, dependendo da velocidade do seu computador.
Ao final da instalação, o sistema lhe perguntará se você deseja confirmar ou confirmar a instalação. Reinicie o seu computador Para aplicar o novo recurso, aceite a reinicialização e, quando o computador iniciar novamente, o Windows Sandbox estará disponível entre os seus aplicativos.
A partir daí, basta pesquisar por “Windows Sandbox” no menu Iniciar ou na caixa de pesquisa para iniciar o ambiente de teste. Uma janela será aberta com uma área de trabalho limpa do Windows, separada da sua.
Configurações padrão de isolamento do Sandbox
Se você iniciar o Windows Sandbox sem nenhum arquivo de configuração personalizado, o ambiente será criado com parâmetros padrão projetados para equilibrar segurança e conforto.O limite de memória está definido em 4 GB e algumas integrações básicas com o host estão habilitadas.
Em sistemas x64 que não são baseados em ARM, a GPU virtual (vGPU) geralmente está incluída. ativado por padrãoIsso permite aproveitar a aceleração gráfica do sistema host dentro do ambiente isolado (sandbox). Isso melhora o desempenho da interface e de alguns aplicativos, embora aumente ligeiramente a superfície de ataque.
No nível da rede, o Sandbox começa com conectividade ativada por meio de um switch Hyper-V virtual e uma placa de interface de rede (NIC) virtual associada. Isso permite navegar na internet, baixar instaladores ou acessar recursos online diretamente do ambiente isolado.
A entrada de áudio (microfone) geralmente está habilitada, permitindo que aplicativos internos capturem o som do host, se necessário. No entanto, entrada de vídeo (câmera) Essa função vem desativada para impedir que aplicativos dentro do Sandbox acessem a webcam do computador sem controle.
Por motivos de segurança, o redirecionamento de impressora permanece desativado, enquanto o A área de transferência compartilhada está ativada.Essa última funcionalidade permite copiar e colar textos e arquivos entre o seu Windows normal e o ambiente isolado (sandbox) de forma bastante prática.
Arquivos .wsb: configurações avançadas de isolamento
Se você quiser ir um passo além, o Windows Sandbox oferece suporte a isso. Arquivos de configuração com a extensão .wsbEsses arquivos, escritos em formato XML simples, permitem personalizar o comportamento do ambiente isolado sem precisar mexer nas opções internas avançadas do sistema.
Um arquivo .wsb básico consiste em uma tag raiz. e seu encerramento Essas configurações incluem vários blocos de configuração. Entre outras coisas, você pode controlar o uso da vGPU, rede, pastas compartilhadas, comandos de inicialização, áudio, vídeo, segurança aprimorada, impressoras, área de transferência e memória alocada.
Para criar um, basta abrir um editor de texto simples como Bloco de Notas ou Visual Studio CodeEscreva a estrutura de configuração necessária e salve o documento com a extensão .wsb (por exemplo, "MySandbox.wsb"). É importante que, ao salvar no Bloco de Notas, você inclua o nome entre aspas para que a extensão seja respeitada.
Quando você quiser iniciar um Sandbox com essa configuração específica, basta fazer o seguinte: Clique duas vezes no arquivo .wsbO Windows abrirá um ambiente isolado (sandbox), aplicando todos os parâmetros definidos no arquivo. Você também pode executá-lo a partir da linha de comando, digitando o caminho para o arquivo.
Este sistema facilita a criação de vários "modelos" de espaços isolados, por exemplo, um com a rede desativada e a pasta de downloads em modo somente leitura, outro com mais memória para testes intensivos ou um terceiro com um script de inicialização que automatiza a instalação de software a cada execução.
Opções de configuração mais importantes
Uma das chaves do arquivo .wsb é a diretiva o que permite Ativar ou desativar a GPU virtualizadaAo usar a opção “Ativar”, o Sandbox tem acesso à aceleração gráfica do host, enquanto a opção “Desativar” força o uso de renderização por software (WARP), que é mais segura, mas geralmente mais lenta.
O rótulo Controla o comportamento da rede. Com "Ativar", você concede conectividade total; com "Desativar", você cria um ambiente isolado (sandbox) completo. Quando desconectado, é ideal para executar malware. que tenta se comunicar com o exterior; e com “Padrão” a configuração padrão é aplicada, o que permite a conexão em rede através de um switch virtual Hyper-V.
Através Você pode especificar uma coleção de pastas do host para serem compartilhadas com o sandbox. Cada uma delas inclui o caminho no host ( ), a pasta de destino dentro do Sandbox ( ) e, opcionalmente, um rótulo Para estabelecer acesso somente leitura ou acesso de leitura/gravação.
Com e Você pode definir um comando ou script que é executado automaticamente quando a sessão é iniciada no Sandbox. Isso é muito útil para executar instaladores, scripts de configuração ou ferramentas de teste sem precisar fazer isso manualmente a cada inicialização.
Além disso, você tem opções para gerenciar a entrada de áudio ( ), vídeo ( ), modo cliente protegido ( ), redirecionamento de impressora ( ) e a área de transferência ( ), ajustando assim o equilíbrio entre conforto e isolamento de acordo com o que você precisa em cada situação.
Ajustar memória e recursos do Sandbox
O rótulo permite que você especifique o quantidade de RAM que o sandbox pode usar, expressa em megabytes. Por exemplo, 4096 para 4 GB, 8192 para 8 GB, 12288 para 12 GB ou 16384 para 16 GB, desde que seu hardware tenha memória suficiente.
Se você definir um valor muito baixo para que o Sandbox seja iniciado, o Windows aumentará automaticamente o número até atingir o valor desejado. o requisito técnico mínimo, que geralmente é de 2048 MBAinda assim, é aconselhável não subestimar os requisitos para evitar lentidão ao executar aplicativos exigentes.
Lembre-se de que a memória alocada para o Sandbox é temporariamente subtraída da memória disponível do host, portanto, é recomendável Ajuste o valor com base na quantidade real de RAM instalada.Em um computador com 8 GB, por exemplo, pode ser sensato alocar 4096 MB para não deixar o sistema principal muito limitado.
Combinando Com a configuração de vGPU e rede, você pode criar diferentes perfis de uso: desde um ambiente leve e ultrasseguro, com rede e GPU desativadas, até um Sandbox poderoso com muitos recursos reservados para testes exigentes.
Esse nível de controle torna o Windows Sandbox uma ferramenta bastante flexível, capaz de se adaptar a ambos usuários que desejam apenas um "ambiente de teste" rápido bem como profissionais que precisam reproduzir ambientes de teste muito específicos.
Graças a essa abordagem, o Windows Sandbox se tornou uma das maneiras mais fáceis de... Configure o isolamento real para testes no Windows., combinando a conveniência de ser integrado ao sistema com a robustez do isolamento de hardware e a flexibilidade dos arquivos de configuração .wsb.
