[보안분석] 윈도우10에 내장된 샌드박스 기능

Windows Sandbox

1. 개요

---

Windows 10 버전 1903 빌드 18305부터 제공되는 가상머신. 윈도우 자체를 가상머신 환경에서 실행시켜 준다.

PC에 위협이 있을 수 있는 악성 URL 접근이나 악성코드 분석 등을 수행할때 사용하면 좋다.

완전히 격리되어있어 샌드박스 안에서 랜섬웨어를 실행해도 원래 PC는 아무 영향이 없다.

 

 

2. 권장사양 및 설치 방법

---

• Windows 10 Pro, Enterprise 또는 Education 빌드 18305 또는 Windows 11(Windows 샌드박스 현재 Windows Home 버전에서 지원되지 않음)
• AMD64 또는 (Windows 11 빌드 22483 현재) ARM64 아키텍처
• BIOS에서 사용하도록 설정된 가상화 기능
• 최소 4GB RAM(8GB 권장)
• 1GB 이상의 사용 가능한 디스크 공간(SSD 권장)
• 두 개 이상의 CPU 코어(하이퍼스레딩이 권장되는 4개 코어)

 

 

Windows 기능 켜기/끄기에서 설치해야 한다. 

Windows Sandbox 기능 활성화

제어판 → 프로그램 제거 → Windows 기능 켜기/끄기 → Windows 샌드박스를 선택하고 재부팅하면 설치가 완료된다.

※ 팁: appwiz.cpl (프로그램 추가/제거)

 

또는 파워쉘 명령어로도 설치가 가능하다. (재시작 필요)

Set-VMProcessor -VMName \<VMName> -ExposeVirtualizationExtensions $true

이제 윈도우 시작버튼을 누르고 windows sandbox 검색 후 아이콘을 클릭하면 샌드박스가 실행된다.

이것 저것 깔고 막써도 꺼버리면 초기화 되니까 마음대로 사용하면 된다.

 

 

3. 기타 정보 

---

 

근데 샌드박스를 처음 실행하면 위와 같이 미국 기준의 OS로 실행이 된다.

그래서 나는 일일이 설정을 바꾸고 사용하는데 시스템 로캘, 언어, 위치 등을 바꾼다

수동으로 바꾸다가 파워쉘 스크립트를 만들어서 사용중이다. 

 

 

 sandbox_config.ps1

Set-ExecutionPolicy Unrestricted -Force
sleep 2
Set-Culture ko-KR
Set-WinSystemLocale -SystemLocale ko-KR
Set-WinUILanguageOverride -Language ko-KR
Set-WinUserLanguageList ko-KR -Force
Set-WinHomeLocation -GeoId 134
SP Registry::"HKCU\SOFTWARE\Microsoft\Internet Explorer\Main" -Name "Start Page" -Value about:blank
SP Registry::"HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced" -Name "Hidden" -Value 1
SP Registry::"HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced" -Name "HideFileExt" -Value 0
(new-object System.Net.WebClient).DownloadFile('http://dl.google.com/chrome/install/375.126/chrome_installer.exe', $env:TEMP+'\chrome.exe'); start $env:TEMP\chrome.exe

 

 

근데 스크립트 실행시 첫줄에서 에러가 발생한다. 편집으로 열어서 따로 저 구문만 실행하면 잘되는데 스크립트 파일을 실행하면 이상하게 안된다. 누가 도움좀...

 

샌드박스 실행 할때마다 복사하기 귀찮으면 아래처럼 구성파일을 사용할 수 있다.

샌드박스 설정파일을 만들어놓고 실행할때 커스터마이징한 설정대로 실행되는 기능이다.

 

sandbox_script.wsb

<Configuration>
  <Networking>Enable</Networking>
  <MappedFolders>
    <MappedFolder>
      <HostFolder>C:\sandbox_scripts</HostFolder>
      <ReadOnly>true</ReadOnly>
    </MappedFolder>
  </MappedFolders>
</Configuration>

 

MappedFolder가 내 호스트 PC의 특정 폴더를 샌드박스와 공유하겠다는 의미다.

HostFolder로 C:\sandbox_scritps를 걸어놓았으니 

샌드박스를 실행하면 저 폴더와 하위 파일들이 샌드박스 바탕화면에 자동으로 들어간다.

 

샌드박스 구성파일은 .wsb 확장자며 이 파일을 실행하면 구성정보가 반영이 된다.

 

저기서 아래와 같이 샌드박스 컨피그 파일도 실행이 가능하나 자꾸 오류가 발생해서 그냥 수동으로 한다.

<LogonCommand>
    <Command>C:\users\WDAGUtilityAccount\sandbox_scripts\sandbox_config.ps1</Command>
  </LogonCommand>

 

이외에 여러 방법으로 사용이 가능하다.

예를 들어 샌드박스를 실행하면 특정 파일을 실행시키고 싶다면 아래 처럼 추가만 해주면 된다.

 

<Command> 파일명 </Command>