サンドボックスとは【図解でわかりやすく】

最終更新日：2026年7月16日

30秒でわかる結論

サンドボックスは隔離された仮想環境で疑わしいプログラムを実際に実行し、挙動（振る舞い）からマルウェアかどうかを判定する仕組み。試験では「①特徴でなく振る舞いで検知する（未知の脅威・ゼロデイに有効）」「②ハニーポットとの違い（サンドボックス＝プログラムを観察、ハニーポット＝攻撃者を観察）」が頻出です。

隔離された安全な環境で疑わしいプログラムを実行し、挙動から正体を見極める仕組み。未知の脅威に有効。

「怪しいファイル、開いて確かめたい。でも本番環境で開くのは怖い」——その矛盾を解く場所が、砂場です。

図解

解説

サンドボックス（sandbox：砂場）は、本番環境から隔離された安全な仮想環境で、疑わしいファイルやプログラムを実際に実行し、その挙動を観察してマルウェアかどうかを判定する仕組みです。

従来のウイルス対策は、既知のマルウェアの特徴（パターン）との照合が中心でした。しかしこの方式では、パターンが未登録の未知のマルウェアやゼロデイ攻撃を検知できません。サンドボックスは「特徴」ではなく「振る舞い」を見ます——隔離環境で実行してみて、「外部の不審なサーバーと通信を始めた」「ファイルを勝手に暗号化し始めた」といった危険な挙動を示せば、未知であってもマルウェアと判定できます。

子どもを公園の砂場で遊ばせるように、「何が起きても外に影響しない場所」で試す発想です。メールの添付ファイルを配送前にサンドボックスで検査するセキュリティ製品などが実用例です。

試験では、同じく防御側の道具である「ハニーポット」（攻撃者をおびき寄せて観察するおとり）との区別が定番です。サンドボックスの観察対象はプログラム、ハニーポットの観察対象は攻撃者です。

具体例

①メールセキュリティ：添付ファイルをサンドボックスで実行→不審な外部通信やファイル暗号化の挙動を検知→危険と判定しブロック（受信者に届かない）。②ゼロデイ攻撃への対応：パターンファイル未登録の新型マルウェアもサンドボックスで実際の挙動から検知できる。③ブラウザのサンドボックス：Chrome等のブラウザはタブごとをサンドボックス化し、悪意あるWebサイトがPCに影響を与えないよう隔離。

間違えやすい類似用語

サンドボックス vs ハニーポット：サンドボックス＝疑わしいプログラムを隔離環境で実行し挙動を観察（観察対象はプログラム）。ハニーポット＝おとりのシステムを設置して攻撃者を誘い込み、手口や目的を観察（観察対象は攻撃者）。どちらも「見ることで学ぶ」防御手法。
サンドボックス vs シグネチャ型検知（従来型アンチウイルス）：シグネチャ型は既知マルウェアのパターンファイルと照合（未知には無力）。サンドボックスは実際に動かして挙動で判定（パターン未登録の未知マルウェアも検知可能）。速度vs深度のトレードオフ。

覚え方

怪しいものは砂場で動かして正体を見る。外には何も影響しない

試験での問われ方

情報セキュリティマネジメント試験では「①サンドボックスの定義（隔離環境で実行し挙動を観察）」「②シグネチャ型との違い（特徴ではなく振る舞いで判定→未知の脅威に有効）」「③ハニーポットとの区別（プログラム観察 vs 攻撃者観察）」が頻出。問題文に「未知のマルウェアを実行して挙動を確認」が出たらサンドボックスと判断しましょう。