沙箱联动是什么
沙箱联动是当 IPS、WAF 或邮件网关发现可疑文件（附件、下载的安装包、带宏文档）时，先把文件提取出来送给沙箱做动态分析，由沙箱观察其行为（释放文件、改写注册表、外联地址）并给出恶意判定，设备再决定放行还是阻断。它针对的是特征库尚未收录的未知样本，属于补充手段而不是主力防线。
基本信息
| 适用对象 | 邮件附件、网页下载文件、可疑可执行文件与文档 |
|---|---|
| 联动链路 | 设备提取文件 -> 送沙箱 -> 返回结论 -> 设备放行/阻断/告警 |
| 关键参数 | 送检文件大小上限、类型范围、超时时间、并发送检数 |
| 超时策略 | 等待超时后的默认动作必须事先定义（放行或暂存） |
典型使用场景
- 邮件网关场景：附件先送检，恶意样本拦在投递到邮箱之前
- 终端下载管控：用户下载的安装包先送检，降低失陷概率
- 未知样本研判：手动提交可疑文件，用行为报告辅助定性
- 应急响应：事件中收集到的样本批量送检，确认家族与回连地址
- 规则反哺：把沙箱确认的恶意样本特征逐步转为本地规则
联动上线检查
联动上线检查
# 1. 送检范围：明确文件类型与大小上限，避免全量送检压垮沙箱
# 2. 超时动作：定义等待时长（如 30 秒）与超时后的默认动作
# 3. 回写动作：结论返回后设备做什么（阻断、告警、仅记录）
# 4. 容量：按业务峰值估算并发送检量，核对沙箱许可与性能
# 5. 验证：用厂商提供的无害样本走通全链路，确认结论能回到设备送检策略取舍
| 策略 | 优点 | 代价 |
|---|---|---|
| 全量送检 | 覆盖最全 | 沙箱容量与业务时延压力大 |
| 按文件类型送检 | 容量可控 | 未纳入的类型存在漏检 |
| 仅高风险来源送检 | 对业务影响最小 | 依赖来源信誉判断是否可靠 |
沙箱对投递型攻击（钓鱼附件、恶意文档）效果明显；对纯网络漏洞利用仍要靠 IPS 规则覆盖，两者不互相替代。
沙箱需要外部环境维持分析能力，其管理接口与回传链路属于高敏感暴露面，应按最小可达原则限制来源。