Что такое Windows Sandbox и зачем она нужна
Windows Sandbox — встроенная в Windows 11 изолированная среда, в которой можно запускать программы и открывать файлы отдельно от основной системы. Она работает как временная виртуальная машина и использует аппаратную виртуализацию для отделения своей среды от основной Windows.
Скачать Windows 11 Pro (Профессиональная)
Перейти на страницу загрузки файла
Скачать Windows 11 Home (Домашняя)
Перейти на страницу загрузки файла
Песочница особенно полезна, когда нужно проверить неизвестную программу, протестировать установщик, открыть подозрительный файл или посмотреть, как работает приложение, не устанавливая его в основную систему.
После закрытия Windows Sandbox все установленные программы, созданные файлы и изменения внутри среды удаляются. При следующем запуске пользователь получает чистую систему.
Какие редакции Windows 11 поддерживают Windows Sandbox
Windows Sandbox доступна не во всех редакциях системы.
Поддерживаются:
- Windows 11 Pro;
- Windows 11 Enterprise;
- Windows 11 Pro Education;
- Windows 11 Education.
Windows 11 Home официально не поддерживает Windows Sandbox.
Какие требования предъявляются к компьютеру
Для запуска песочницы Microsoft указывает следующие минимальные требования:
- 64-разрядная архитектура AMD64 или поддерживаемая Arm64;
- включенная аппаратная виртуализация;
- не менее 4 ГБ оперативной памяти;
- не менее 1 ГБ свободного места на диске;
- минимум два ядра процессора.
Для более комфортной работы Microsoft рекомендует 8 ГБ ОЗУ, SSD и четырехъядерный процессор.
Как проверить, включена ли аппаратная виртуализация
Без поддержки аппаратной виртуализации Windows Sandbox не запустится.
Проверка через Диспетчер задач
- Нажмите Ctrl + Shift + Esc.
- Откройте вкладку «Производительность».
- Выберите «ЦП».
- Посмотрите строку «Виртуализация».
Если указано «Включено», дополнительная настройка обычно не требуется.
Если виртуализация отключена
Необходимо войти в BIOS или UEFI и включить соответствующую технологию.
В зависимости от платформы параметр может называться:
- Intel Virtualization Technology;
- Intel VT-x;
- AMD-V;
- SVM Mode.
Точное название зависит от производителя материнской платы или ноутбука.
Как включить Windows Sandbox в Windows 11
Песочница устанавливается как дополнительный компонент Windows.
Включение через «Компоненты Windows»
- Откройте поиск Windows.
- Введите «Включение или отключение компонентов Windows».
- Откройте найденный раздел.
- Найдите «Песочница Windows».
- Установите флажок.
- Нажмите OK.
- Перезагрузите компьютер, если Windows предложит это сделать.
После перезагрузки найдите Windows Sandbox через меню «Пуск» и запустите ее.
Включение через PowerShell
Функцию также можно активировать через PowerShell с правами администратора:
Enable-WindowsOptionalFeature -FeatureName "Containers-DisposableClientVM" -All -Online
После установки может потребоваться перезагрузка.
Что происходит при запуске Windows Sandbox
При открытии создается отдельная временная среда Windows. Она использует файлы системы хоста, но работает с отдельным ядром и изолированной конфигурацией.
Среда каждый раз создается заново
Программы, которые были установлены во время предыдущего сеанса, не сохраняются.
То же относится к:
- измененным настройкам;
- загруженным файлам;
- созданным учетным данным;
- установленным приложениям.
При закрытии окна Sandbox Windows предупреждает, что содержимое среды будет удалено.
Перезагрузка внутри Sandbox не всегда удаляет данные
В современных версиях Windows Sandbox перезагрузка, выполненная внутри самой песочницы, может сохранять состояние текущего сеанса. Полное удаление происходит после закрытия приложения Sandbox.
Что можно делать внутри изолированной среды
Windows Sandbox подходит для сценариев, где нужна чистая система без влияния на основную Windows.
Проверять программы перед установкой
Можно запустить неизвестный установщик, посмотреть интерфейс программы и проверить, какие действия она выполняет.
Если приложение оказалось ненужным, достаточно закрыть Sandbox.
Открывать подозрительные файлы
Песочница может использоваться для предварительной проверки документов, архивов и исполняемых файлов.
При этом важно понимать, что сама по себе Sandbox не является антивирусом и не гарантирует, что файл безопасен.
Тестировать настройки и сценарии
Среда подходит для:
- проверки скриптов;
- тестирования установщиков;
- отладки приложений;
- работы с временными инструментами;
- проверки поведения программ после чистой установки.
Есть ли интернет в Windows Sandbox
По умолчанию сеть в песочнице включена.
Windows создает виртуальный сетевой адаптер и подключает Sandbox через виртуальный переключатель Hyper-V.
Почему интернет иногда лучше отключить
Если внутри запускается действительно неизвестный или подозрительный файл, сетевое подключение увеличивает потенциальную поверхность атаки.
Вредоносная программа теоретически может:
- подключаться к внешним серверам;
- загружать дополнительные компоненты;
- пытаться обращаться к устройствам локальной сети.
Поэтому для проверки подозрительных файлов безопаснее запускать отдельную конфигурацию Sandbox без сети.
Как отключить сеть через WSB-файл
Windows Sandbox поддерживает специальные файлы конфигурации с расширением .wsb.
Они позволяют задавать параметры среды перед запуском.
Пример конфигурации без сети
Создайте текстовый файл со следующим содержимым:
<Configuration>
<Networking>Disable</Networking>
</Configuration>
Сохраните файл с расширением .wsb и запустите двойным щелчком.
Windows откроет Sandbox без сетевого доступа.
Как передавать файлы между основной Windows и Sandbox
По умолчанию буфер обмена между основной системой и песочницей включен.
Копирование через буфер обмена
Файл можно скопировать в обычной Windows и вставить внутрь Sandbox.
Аналогично можно перенести текст или отдельные файлы обратно.
Почему буфер обмена может быть риском
Если внутри запускается потенциально вредоносное ПО, общий буфер обмена создает дополнительный канал взаимодействия между песочницей и основной системой.
Для более строгой изоляции его можно отключить через WSB-конфигурацию.
Как использовать общую папку в Windows Sandbox
Через файл .wsb можно подключить каталог основной системы внутрь песочницы.
Общий каталог удобен для тестирования
Например, можно создать отдельную папку с установщиком и открыть ее внутри Sandbox.
Microsoft позволяет подключать такие каталоги:
- только для чтения;
- с разрешением на запись.
Для подозрительных файлов лучше использовать режим только чтения
Если песочнице разрешена запись в каталог основной системы, запущенная внутри программа сможет изменять файлы в нем.
Для проверки неизвестного ПО безопаснее подключать каталог только для чтения.
Какие параметры можно задавать в файле WSB
Конфигурационный файл позволяет создавать отдельные профили Sandbox для разных задач.
Поддерживаются настройки:
- сети;
- виртуального GPU;
- памяти;
- общих папок;
- буфера обмена;
- микрофона;
- камеры;
- принтера;
- команды, запускаемой при входе;
- Protected Client.
vGPU
На поддерживаемых устройствах виртуализированный GPU включен по умолчанию, кроме некоторых сценариев Arm64.
Его можно отключить, если требуется уменьшить поверхность атаки. В этом случае Windows использует программный рендеринг.
Объем оперативной памяти
Через конфигурацию можно указать количество памяти, выделяемой песочнице.
Если значение слишком маленькое для запуска, Windows автоматически увеличит его до необходимого минимума.
Что изменилось в Windows Sandbox в современных версиях Windows 11
Начиная с Windows 11 24H2 Microsoft развивает новую версию приложения Windows Sandbox через Microsoft Store.
Обновленный интерфейс
Новая версия использует WinUI 3 и современный интерфейс в стиле Windows 11.
Быстрые обновления через Microsoft Store
Исправления и новые функции Sandbox теперь могут распространяться через Store без ожидания полноценного обновления Windows.
Управление во время работы
В новой версии часть возможностей можно менять непосредственно во время сеанса через меню в верхней части окна.
Microsoft добавила управление:
- буфером обмена;
- аудиовходом;
- видеовходом;
- общими папками.
Некоторые встроенные приложения могут отсутствовать
Начиная с Windows 11 24H2 в Windows Sandbox могут отсутствовать некоторые встроенные приложения Microsoft Store, включая отдельные версии «Калькулятора», «Фотографий», «Блокнота» и «Терминала».
Это не означает, что песочница повреждена.
Насколько Windows Sandbox безопасна
Sandbox использует аппаратную виртуализацию и отдельное ядро Windows, поэтому она значительно лучше изолирована от основной системы, чем обычный запуск программы в отдельной папке или учетной записи.
Однако абсолютной гарантии безопасности нет.
Опасная программа может определить виртуальную среду
Некоторые вредоносные приложения умеют определять, что работают в виртуальной машине, и могут временно не проявлять вредоносное поведение.
Сеть и общие ресурсы уменьшают изоляцию
Чем больше возможностей передано из основной системы внутрь Sandbox, тем больше потенциальных каналов взаимодействия.
При проверке неизвестного файла безопаснее использовать:
- отключенную сеть;
- отключенный буфер обмена при необходимости;
- общую папку только для чтения;
- отсутствие личных документов;
- отсутствие сохраненных паролей и учетных данных.
Sandbox не заменяет Microsoft Defender
Песочница должна дополнять защиту, а не заменять антивирус и другие механизмы Windows Security.
Что делать, если Windows Sandbox не запускается
Чаще всего проблема связана с редакцией Windows, виртуализацией или отсутствием компонента.
Проверьте редакцию Windows
Если установлена Windows 11 Home, штатная Windows Sandbox недоступна.
Проверьте виртуализацию
Откройте Диспетчер задач и убедитесь, что аппаратная виртуализация включена.
Проверьте компонент Windows Sandbox
Откройте «Включение или отключение компонентов Windows» и убедитесь, что «Песочница Windows» включена.
Если используется виртуальная машина
Для запуска Sandbox внутри другой виртуальной машины требуется nested virtualization — вложенная виртуализация.
Хостовая платформа должна поддерживать передачу аппаратных расширений виртуализации внутрь гостевой системы.
Когда лучше использовать полноценную виртуальную машину
Windows Sandbox удобна именно как временная среда. Если данные и программы нужно сохранять между сеансами, полноценная VM обычно подходит лучше.
Выберите виртуальную машину, если нужно
- постоянно хранить установленное ПО;
- создавать снимки состояния;
- тестировать несколько версий Windows;
- работать с постоянной виртуальной сетью;
- выделять отдельные виртуальные диски;
- создавать сложную лабораторную среду.
Windows Sandbox лучше для быстрых проверок
Если нужно просто запустить файл, проверить программу и затем полностью удалить среду, Sandbox значительно проще полноценной виртуальной машины.
Какая редакция Windows нужна для Windows Sandbox
Windows Sandbox входит в поддерживаемые редакции Windows 11 Pro, Enterprise и Education и не требует отдельной покупки приложения.
Когда Windows Sandbox действительно полезна
Песочница Windows 11 удобна для быстрой проверки программ, установщиков, файлов и настроек без изменения основной системы. При закрытии среды все содержимое удаляется, поэтому каждый новый запуск начинается с чистого состояния.
Для обычного тестирования достаточно стандартных параметров. Если же файл вызывает сомнения, безопаснее отключить сеть, ограничить буфер обмена и подключать папки основной системы только в режиме чтения.
Windows Sandbox не заменяет антивирус и полноценную лабораторию для анализа вредоносного ПО, но для повседневной проверки неизвестных программ это один из самых удобных встроенных инструментов Windows 11 Pro и старших редакций.
