在沙盘中运行病毒样本的安全边界

在沙盘中分析病毒样本时，安全边界应以“样本即使逃逸，也无法接触真实网络、数据或设备”为目标：

• 使用专用隔离环境：优先采用专用分析主机或独立虚拟化环境；不要在日常办公电脑、生产服务器或含有敏感资料的设备上运行样本。
• 严格限制网络：默认断网。确需观察网络行为时，使用隔离的模拟网络或受控实验网，禁止连接企业内网、家庭局域网及真实互联网。
• 关闭宿主机通道：禁用共享文件夹、剪贴板、拖放、USB 直通和不必要的虚拟设备；不要把宿主机目录映射给虚拟机。
• 使用快照并减少持久性：运行前创建干净快照，分析后回滚或销毁环境；不要在分析环境中保存真实账号、密钥或个人文件。
• 隔离样本与产物：样本及其生成文件应放在受控存储中，避免通过邮件、网盘或普通共享目录传递。不要在隔离边界之外打开可疑文件。
• 控制访问与操作：仅由获授权人员在有记录的流程中分析；使用非管理员账户，并限制样本、虚拟机及日志的访问权限。
• 准备应急措施：确认如何立即断开虚拟网络、暂停或关闭虚拟机，并监控宿主机和网络异常。分析结束后检查宿主环境，必要时重新构建。
• 不要把沙盘视为绝对安全：虚拟机逃逸、配置错误和恶意利用都可能突破隔离。高风险样本应使用专用实验设备和经审查的隔离方案。

如果只是观察行为，优先使用信誉良好的离线分析工具或受控沙盘，不要为“测试效果”解除隔离限制。