ユーザーがWindows Sandboxを開くたびに、サンドボックスは白紙状態になる。サンドボックスを閉じると、実行した全ての作業が削除される。

　Windows Sandboxを実行するために、IT担当者が仮想HDDを作成する必要はない。BIOSを通じて仮想化を有効にしておけば、全てのユーザーが「Windowsの機能」設定からWindows Sandboxを有効にすることができる。この機能を有効にした後は、Windowsの「スタートメニュー」からアクセスできるようになり、Windows Sandboxウィンドウに実行可能ファイルをドラッグするだけでそのファイルを検証できる。

　Windows 10で利用でき、設定も使用も簡単だ。例えば開発者はコードの行を右クリックするだけで、そのコードをWindows Sandboxで実行して素早確認できる。他のサンドボックスツールでは、もっと複雑な操作になることもある。

　Oracleの「Oracle VM VirtualBox」、Sophosの「Sophos Sandstorm」、Unityの「Security Sandbox」など、大半のエンタープライズ向けサンドボックスツールでは、ファイルを隔離して実行するためのインフラに、多くの投資が必要になる。こうしたツールを購入する余裕がない小規模企業にとっては、Windows Sandboxを導入するほうが簡単だろう。

　「開発者は、アプリケーションやコードの検証作業をやりたがらない。だがWindows Sandboxであれば、アプリケーションやコードの変更を素早くサンドボックスで実行できる。素早く検証できれば、開発者は多くのテストをするようになる。このことで得られるメリットは大きい」（ライアルズ教授）

　IT部門が技術に詳しい従業員の協力を得て、運用デスクトップに問題をもたらさずに、コードやアプリケーションの変更を検証できると話すのは、米コンサルティング企業Five Nines IT Solutions社長のダグラス・グロスフィールド氏だ。

　Windows Sandboxは、危険性が潜む実行可能ファイルからシステムを保護するための効果的な対策だ。

　「OSにサンドボックステクノロジーを組み込むことで、悪意のあるコードの実行を防ぐための保護層に、新たな層が追加される。例えばランサムウェア攻撃が行われても、ファイルを暗号化するコードの実行を阻止できる」とグロスフィールド氏は話す。

サンドボックスがセキュリティの妨げになる可能性

　Windows Sandboxよりも他のサンドボックスツールのほうが、優れたセキュリティを提供することがある。例えばデバイスやネットワークをエアギャップ環境に置くことができるツールがある。こうしたツールは、サンドボックスをOSやアプリケーションから切り離すだけでなく、デバイスやネットワークを公共Wi-Fiなどの安全性の低いネットワークから切り離す。

　問題なのは、Windows Sandbox環境と実際の運用デスクトップの違いをエンドユーザーが完全に理解できない可能性がある点だ。エンドユーザーは、Windows Sandboxにインストールしたアプリケーション設定やデータに加えた変更が、次回そのアプリケーションを起動したときにも引き継がれると考えるかもしれない。

　またWindows SandboxをOS内から直接利用できることで、管理者から一部の制御権が奪われる。アプリケーションを隔離する機能は、信頼性が低くIT管理者の承認していないアプリケーションを、ユーザーがデスクトップで実行するリスクを生む。

　「Windows Sandboxは、シャドーITが生まれる可能性とリスクを高める。そのため、ユーザーの環境の監視と管理という点では、IT部門の負担が増える」（グロスフィールド氏）

　サンドボックス化しても、ユーザーのシステムを完全に保護できる保証はない。

　Windows Sandboxは仮想マシンと同様、信頼性の低いアプリケーションでも実行できるよう設計していると話すのは、Microsoftでプリンシパルグループプログラムマネジャーを務めるハリ・プラパカ氏だ。ただしサンドボックスは動的イメージを使用するため、機能するためにホストのバイナリにアクセスしなければならないと同氏は話す。

　もしもWindows Sandbox内に脆弱（ぜいじゃく）性が生まれたら、サンドボックスとホストOS間のこうした相互作用が懸念をもたらす。

　「Windows Sandboxはシステムメモリにアクセスする。有害な何かを共有した場合、サンドボックスの脆弱性が基盤となるOS内に影響を及ぼすまで、それほど時間はかからないだろう」とライアルズ教授は言う。

　このようにWindows Sandboxはホストと相互作用する。そのためIT担当者は、OSのアップデートを社内に展開する前にWindows Sandboxで検証することができない。OSアップデートの検証はサンドボックスの用途の1つだ。しかしWindows SandboxはホストOSのシステムファイルを直接操作するため、システムファイルに変更を加えることができない。つまり、「Windows Update」のテストは不可能だ。

　「Windows Sandboxの用途は非常に限られたものになりそうだ。Windows Updatesを検証できなければ、通常の手続きやプロセスの一環としてWindows Sandboxを利用する企業は何社あるだろうか」（ライアルズ教授）

　サンドボックス化は、もっと大掛かりなサイバーセキュリティ戦略の一部にすぎない。IT担当者はサンドボックスが完全な保護を提供すると考えてはいけないと、グロスフィールド氏は言う。

　「サイバーセキュリティの特効薬は存在しない。OSにサンドボックス機能が組み込まれたとしても、エンドポイントの適切な保護への投資が不要になるわけではない」（グロスフィールド氏）