Windows Sandbox : isoler les risques quand on exécute des fichiers suspects

Windows Sandbox, ou bac à sable Windows selon la terminologie Microsoft, reste l’un de ces outils intégrés qui passent souvent sous le radar. Pourtant il répond pile à un besoin fréquent en cybersécurité : exécuter quelque chose de potentiellement dangereux sans mettre en péril la machine principale.

En gros, c’est une petite machine virtuelle jetable qui s’appuie sur Hyper-V. Chaque fois que vous la fermez, tout disparaît. Pas de traces, pas de persistance, pas de risque que le malware que vous venez de tester s’installe en douce sur votre poste de travail. C’est propre, c’est rapide, et c’est déjà là dans Windows Pro, Enterprise ou Education.

Le point intéressant pour qui analyse des menaces, c’est que l’isolation se fait au niveau du noyau grâce à la virtualisation matérielle. Le bac à sable tourne son propre noyau, séparé de l’hôte. Du coup même si un échantillon malveillant essaie de s’échapper, il reste coincé dedans.

Pourquoi les équipes de threat intelligence l’utilisent

Quand on reçoit un fichier .exe ou un document Office louche, la première réaction n’est plus forcément de le balancer dans une VM lourde. Windows Sandbox suffit souvent pour un premier tri.

On l’ouvre, on copie le fichier, on l’exécute, on regarde ce qui se passe. Si rien de grave n’apparaît, on peut creuser plus loin avec des outils d’analyse. Si ça part en vrille, on ferme la fenêtre et tout s’efface. Simple.

Certains l’utilisent aussi pour tester des logiciels en version d’essai ou des mises à jour avant de les déployer sur des postes critiques. Ou encore pour naviguer sur des sites douteux sans exposer le navigateur principal. L’environnement reste vierge à chaque lancement, donc pas de cookies persistants ni d’extensions compromises qui traînent.

Depuis Windows 11 version 22H2, les redémarrages demandés par une application à l’intérieur du bac à sable sont gérés correctement. Ça évite les blocages quand un programme insiste pour redémarrer après installation.

Les conditions matérielles et logicielles

Il faut d’abord une édition Windows qui le supporte. Windows Home est exclu, point. Il vous faut donc Pro, Enterprise, Education ou les variantes équivalentes.

Côté hardware, la virtualisation doit être activée dans le BIOS ou l’UEFI. Sur la plupart des machines récentes c’est déjà le cas, mais il vaut mieux vérifier. Cherchez les options Intel VT-x, AMD-V ou simplement « Virtualization Technology ». Activez, sauvegardez, redémarrez.

Microsoft indique un minimum de 4 Go de RAM et un processeur double cœur, mais en pratique 8 Go et quatre cœurs rendent l’expérience bien plus fluide. Le bac à sable consomme de la mémoire, surtout si vous mappez des dossiers ou que vous laissez le GPU virtuel activé.

Comment l’activer concrètement

Sur Windows 11 ou Windows 10 récent, le chemin est le même. Ouvrez les Paramètres avec Windows + I, descendez jusqu’à « Système » puis « Fonctionnalités facultatives ». En bas de page cliquez sur « Plus de fonctionnalités Windows ». Dans la liste qui s’affiche, cochez « Bac à sable Windows », validez et redémarrez quand Windows le demande.

Une fois l’installation terminée, vous retrouvez l’application directement dans le menu Démarrer. Tapez « Windows Sandbox » ou « Bac à sable Windows » et lancez-la. Une fenêtre s’ouvre avec un bureau Windows propre, connecté par défaut au réseau via le commutateur Hyper-V.

Lancer et utiliser au quotidien

Rien de plus simple : double-clic sur l’icône ou recherche dans le menu Démarrer. Windows Sandbox démarre en quelques secondes. Vous avez alors un environnement complet, avec son propre compte administrateur (WDAGUtilityAccount). Vous pouvez y copier des fichiers depuis l’hôte via le presse-papiers ou en les glissant directement dans la fenêtre.

Le vrai intérêt arrive quand on veut limiter les risques. Par défaut le réseau est activé. Un malware pourrait donc tenter de communiquer avec l’extérieur ou de scanner le réseau local. Pour les analyses sérieuses, mieux vaut désactiver cette connexion.

Configurer finement avec un fichier .wsb

C’est là que Windows Sandbox devient vraiment puissant. Au lieu de lancer l’application classique, vous pouvez créer un petit fichier texte avec l’extension .wsb. Double-cliquez dessus et le bac à sable s’ouvre directement avec les réglages que vous avez définis.

Le format est du XML simple. Voici un exemple très utilisé pour tester des fichiers téléchargés suspects :

<Configuration>
  <VGpu>Disable</VGpu>
  <Networking>Disable</Networking>
  <MappedFolders>
    <MappedFolder>
      <HostFolder>C:\Users\Public\Downloads</HostFolder>
      <SandboxFolder>C:\temp</SandboxFolder>
      <ReadOnly>true</ReadOnly>
    </MappedFolder>
  </MappedFolders>
  <LogonCommand>
    <Command>explorer.exe C:\temp</Command>
  </LogonCommand>
</Configuration>

Ce fichier désactive le GPU virtuel et la mise en réseau, mappe le dossier Téléchargements en lecture seule à l’intérieur du bac à sable, et ouvre automatiquement l’explorateur dessus. Le malware ne peut ni phoning home ni écrire quoi que ce soit sur le disque hôte. Une fois la fenêtre fermée, plus rien ne subsiste.

D’autres paramètres existent : vous pouvez activer ou désactiver le presse-papiers, les entrées audio et vidéo, forcer un mode « Protected Client » plus strict, ou allouer une quantité précise de mémoire. Tout se passe dans le même fichier XML. C’est léger, lisible, et ça se versionne facilement si vous gérez plusieurs scénarios d’analyse.

Cas d’usage concrets en cybersécurité

Le scénario le plus courant reste l’ouverture de pièces jointes ou de fichiers reçus par mail. Au lieu de cliquer directement, vous glissez le fichier dans le bac à sable et vous l’examinez là.

Les analystes l’utilisent aussi pour vérifier rapidement le comportement d’un échantillon avant de le passer dans un environnement d’analyse plus lourd avec sandboxing dynamique complet. C’est rapide, ça ne pollue pas la station de travail, et ça permet de filtrer les faux positifs ou les échantillons inoffensifs.

Certains l’emploient pour tester des outils internes ou des scripts PowerShell récupérés sur des dépôts publics. Ou encore pour démontrer à un client comment un ransomware se comporte sans prendre le moindre risque sur la machine de présentation.

Les limites qu’il faut accepter

Windows Sandbox ne remplace pas une vraie plateforme d’analyse malware avec journalisation fine des appels système. C’est un bac à sable léger, pas un honeypot complet.

Il n’autorise qu’une seule instance à la fois. Pas de snapshots comme dans VirtualBox ou VMware. Une fois fermé, tout est parti, donc si vous avez besoin de conserver des logs ou des captures, il faut les exporter avant.

Sur les machines avec peu de RAM, l’expérience peut devenir un peu lente quand plusieurs applications tournent à l’intérieur. Et bien sûr, tout ce qui nécessite une carte graphique dédiée performante sera bridé si vous désactivez le vGPU pour des raisons de sécurité.

Enfin, les dossiers partagés en écriture peuvent laisser des traces sur l’hôte si vous n’êtes pas vigilant. Le principe reste : tout ce qui est en lecture seule et sans réseau reste le plus sûr.

Astuces pour une utilisation vraiment prudente

Commencez toujours par désactiver le réseau quand vous manipulez des fichiers dont vous n’êtes pas sûr. C’est le réglage qui fait le plus de différence.

Mappez uniquement les dossiers nécessaires et en lecture seule dans la majorité des cas. Évitez de partager tout votre dossier Documents ou Bureau.

Si vous faites de l’analyse plus poussée, combinez Windows Sandbox avec d’autres outils : un antivirus en mode surveillance sur l’hôte, un EDR léger, et éventuellement une VM plus complète pour les échantillons vraiment critiques.

Et honnêtement, le plus gros gain vient de l’habitude. Une fois que vous avez pris le réflexe d’ouvrir les fichiers suspects dans le bac à sable plutôt que directement, vous réduisez drastiquement la surface d’attaque quotidienne sans alourdir votre flux de travail.

Windows Sandbox n’est pas la solution ultime à tous les problèmes de sécurité, mais c’est un outil simple, intégré et étonnamment efficace quand on sait s’en servir. Pour beaucoup d’équipes et d’utilisateurs avancés, il est devenu le premier filtre avant d’aller plus loin dans l’analyse.