Как проверить неизвестную программу в Windows 11 без риска для основной системы

Зачем Windows 11 нужна отдельная среда для проверки программ

Неизвестный установщик, старая утилита или файл из сомнительного источника не обязательно нужно запускать непосредственно в основной Windows. В редакциях Windows 11 Pro, Enterprise и Education для таких сценариев предусмотрена Windows Sandbox — временная изолированная среда, работающая поверх аппаратной виртуализации.

Песочница запускает отдельный экземпляр Windows со своим ядром и изолирует выполняемые внутри процессы от основной системы. Программы, установленные в Sandbox, не становятся частью основной Windows, а после закрытия среды ее содержимое удаляется.

Windows Sandbox снижает риск, но не делает любой файл автоматически безопасным. По умолчанию внутри песочницы включены сеть и общий буфер обмена. Для действительно подозрительных файлов эти возможности лучше ограничивать.

Особенность	Как работает Windows Sandbox
Отдельная среда Windows	Запускается изолированно от основной системы
Установленные программы	Остаются только внутри текущего сеанса
Закрытие Sandbox	Удаляет содержимое и состояние среды
Следующий запуск	Создает новую чистую среду
Сеть	По умолчанию включена
Общий буфер обмена	По умолчанию включен

Какие компьютеры поддерживают Windows Sandbox

Песочница входит в состав Windows и не требует отдельной виртуальной машины или самостоятельной установки второй копии операционной системы. Однако функция доступна не во всех редакциях.

Windows Sandbox поддерживается в:

• Windows 11 Pro;
• Windows 11 Enterprise;
• Windows 11 Education;
• соответствующих профессиональных и образовательных вариантах лицензирования.

В Windows 11 Home встроенная Windows Sandbox официально не поддерживается.

Аппаратные требования

Для запуска Microsoft указывает следующие базовые требования:

• процессор AMD64 или поддерживаемое устройство Arm64;
• включенная аппаратная виртуализация;
• не менее 4 ГБ оперативной памяти, рекомендуется 8 ГБ;
• не менее 1 ГБ свободного места;
• минимум два процессорных ядра.

Использование SSD и четырех процессорных ядер обеспечивает более комфортную работу, особенно если внутри песочницы устанавливается тяжелое приложение.

Как включить Песочницу Windows 11

Если компьютер соответствует требованиям, компонент можно активировать штатными средствами Windows.

Включение через компоненты Windows

1. Откройте поиск Windows.
2. Введите «Включение или отключение компонентов Windows».
3. Откройте найденный системный инструмент.
4. Найдите пункт «Песочница Windows».
5. Установите флажок рядом с ним.
6. Нажмите ОК.
7. Перезагрузите компьютер, если Windows предложит это сделать.

После установки Windows Sandbox появится в меню «Пуск» как обычное приложение.

Если пункта «Песочница Windows» нет, сначала проверьте редакцию системы и состояние аппаратной виртуализации. На Windows 11 Home этот компонент штатно недоступен.

Как проверить виртуализацию

Откройте Диспетчер задач → Производительность → ЦП и найдите состояние виртуализации.

Если аппаратная поддержка есть, но Windows показывает, что виртуализация отключена, соответствующий параметр необходимо включить в UEFI или BIOS. На разных компьютерах он может называться Intel Virtualization Technology, Intel VT-x, AMD-V или SVM Mode.

Как правильно проверить неизвестный файл в песочнице

Для обычной тестовой программы достаточно запустить Windows Sandbox и скопировать файл внутрь. Но если происхождение приложения вызывает реальные сомнения, безопаснее сначала уменьшить количество связей между песочницей и основной системой.

Обычный запуск Sandbox

1. Откройте Windows Sandbox из меню «Пуск».
2. Дождитесь загрузки чистого рабочего стола.
3. Скопируйте нужный файл внутрь среды.
4. Запустите приложение.
5. Проверьте его интерфейс и поведение.
6. После завершения закройте окно Sandbox.

Windows предупредит, что содержимое среды будет удалено. После подтверждения программы, файлы и изменения внутри этого экземпляра песочницы исчезнут.

Почему стандартный режим не максимален по уровню изоляции

По умолчанию Windows Sandbox разрешает сетевое подключение и совместное использование буфера обмена. Это удобно для обычного тестирования, но расширяет поверхность взаимодействия с основной системой и локальной сетью.

Для неизвестного или потенциально вредоносного файла лучше не оставлять настройки по умолчанию. Microsoft отдельно предупреждает, что доступ к сети может открыть ненадежному приложению доступ к ресурсам внутренней сети.

Какие функции лучше отключить при проверке подозрительной программы

Windows Sandbox поддерживает файлы конфигурации с расширением .wsb. Они позволяют заранее определить, какие возможности получит изолированная система.

Параметр	Для обычного теста	Для подозрительного файла
Сеть	Можно оставить включенной	Лучше отключить
Буфер обмена	Удобно оставить включенным	Лучше ограничить
Общие папки	Допустимы	Только необходимые и желательно только для чтения
vGPU	Можно использовать	При необходимости можно отключить для уменьшения поверхности атаки
Микрофон	Зависит от приложения	Лучше не предоставлять без необходимости
Камера	По умолчанию отключена	Оставить отключенной

Чем меньше ресурсов основной системы доступны неизвестному приложению, тем лучше подходит конфигурация для проверки потенциально опасного файла.

Файлы .wsb позволяют создать более защищенный режим запуска

Конфигурация Windows Sandbox хранится в обычном XML-файле с расширением .wsb. После двойного щелчка по нему песочница запускается с указанными параметрами.

Через такой файл можно управлять:

• сетевым подключением;
• виртуализированной видеокартой;
• буфером обмена;
• микрофоном и камерой;
• принтерами;
• объемом оперативной памяти;
• общими папками;
• автоматическим выполнением команды после входа;
• режимом Protected Client.

Передача файла через папку только для чтения

Для анализа неизвестного установщика удобнее создать отдельную папку на основном компьютере и предоставить песочнице доступ к ней только для чтения.

Такой подход позволяет Sandbox открыть файл, но затрудняет изменение содержимого исходной папки на основном компьютере.

Не открывайте подозрительному приложению рабочие каталоги с правом записи. Microsoft предупреждает, что изменения в подключенной папке с разрешенной записью сохраняются даже после закрытия Sandbox.

Что изменилось в новых версиях Windows Sandbox

Начиная с Windows 11 24H2 Microsoft развивает обновленную версию Windows Sandbox через Microsoft Store. Благодаря этому новые возможности и исправления могут поступать отдельно от крупных обновлений операционной системы.

Обновленная версия получила интерфейс на основе WinUI 3 и дополнительные элементы управления непосредственно во время работы.

Настройки можно менять прямо из окна песочницы

В новых версиях через меню в правой верхней части окна можно управлять отдельными функциями без заранее подготовленного файла .wsb.

В частности, доступны параметры:

• буфера обмена;
• аудиовхода;
• видеовхода;
• общих папок.

Microsoft также развивает поддержку управления Sandbox из командной строки, однако часть таких возможностей может иметь предварительный статус.

Сохраняются ли программы после перезагрузки и закрытия Sandbox

Windows Sandbox является временной средой. После ее полного закрытия установленное внутри программное обеспечение, созданные файлы и настройки удаляются.

При следующем запуске пользователь получает новую чистую среду.

При этом Microsoft уточняет важный нюанс: начиная с Windows 11 22H2 состояние может сохраняться при перезагрузке, выполненной непосредственно внутри текущего сеанса Sandbox. Это позволяет тестировать приложения, которым во время установки необходим перезапуск.

Перезагрузка внутри песочницы и закрытие песочницы — разные действия. После окончательного закрытия среды ее временное состояние удаляется.

Для каких задач Windows Sandbox подходит лучше всего

Песочница полезна не только для потенциально опасных файлов. Ее удобно использовать всякий раз, когда программе не хочется предоставлять доступ к основной системе.

• проверка неизвестного установщика;
• тестирование старой программы;
• первый запуск утилиты из интернета;
• открытие сомнительного вложения;
• проверка предварительной версии приложения;
• тестирование скриптов;
• эксперименты с настройками программ;
• проверка совместимости приложения с чистой Windows.

Sandbox особенно удобна для тестирования программ

В основной Windows после проверки приложения могут оставаться службы, драйверы, записи в реестре и временные файлы. В песочнице тестирование проходит отдельно, а после закрытия большая часть такого состояния просто уничтожается вместе со средой.

Это делает Sandbox удобной альтернативой полноценной виртуальной машине для коротких тестов.

Чего Windows Sandbox не гарантирует

Несмотря на аппаратную виртуализацию, Sandbox не следует воспринимать как абсолютную защиту от любого вредоносного кода.

Риск увеличивается, если пользователь самостоятельно предоставляет программе доступ к ресурсам основной системы.

Действие	Как влияет на изоляцию
Включенная сеть	Программа может взаимодействовать с сетью и доступными ресурсами
Общий буфер обмена	Создает дополнительный канал обмена между системами
Папка с правом записи	Приложение может изменять файлы основной системы в этой папке
Доступ к микрофону	Предоставляет дополнительный ресурс хоста
Скачивание файлов внутри Sandbox	Требует включенного сетевого доступа

Если задача состоит именно в анализе подозрительного файла, разумно оставить только те функции, без которых программу невозможно проверить.

Windows Sandbox или полноценная виртуальная машина

Оба варианта используют виртуализацию, но предназначены для разных сценариев.

Windows Sandbox	Обычная виртуальная машина
Быстро запускается	Требует отдельной настройки
Не требует отдельного образа Windows для повседневного использования функции	Обычно требует отдельной установки ОС
Состояние удаляется после закрытия	Состояние обычно сохраняется
Удобна для коротких тестов	Подходит для длительной работы
Ограниченная конфигурация	Гибкая настройка виртуального оборудования и сети

Для быстрого запуска одного приложения Sandbox проще. Для длительного анализа, сложной изолированной сети или постоянной тестовой системы полноценная виртуальная машина предоставляет больше возможностей.

Скачать оригинальные образы Windows 11

Windows Sandbox является встроенным компонентом поддерживаемых редакций Windows 11 и не требует отдельного ISO для каждого запуска. Однако оригинальный образ системы может понадобиться при чистой установке Windows, восстановлении компьютера или переходе на редакцию, поддерживающую необходимые профессиональные функции.

Оригинальный ISO Windows не содержит сторонних модификаций и дополнительного программного обеспечения сторонних разработчиков. При установке следует выбирать редакцию, соответствующую используемой лицензии.

Windows 11 для использования Sandbox

Windows Sandbox доступна в поддерживаемых профессиональных, корпоративных и образовательных редакциях Windows. В Windows 11 Home встроенная песочница официально не поддерживается.

После установки Windows 11 систему можно активировать ключом соответствующей редакции.

Как безопаснее использовать Windows Sandbox для неизвестных файлов

Для обычного тестирования программы достаточно стандартного запуска песочницы. Все изменения выполняются в отдельной среде и удаляются после ее закрытия.

Если файл действительно вызывает сомнения, лучше использовать более строгую конфигурацию: отключить сеть, ограничить буфер обмена и предоставить доступ только к одной папке в режиме чтения. Это уменьшает количество каналов, через которые неизвестное приложение может взаимодействовать с основной системой.

Windows Sandbox особенно удобна для короткой проверки программ и файлов, но уровень безопасности напрямую зависит от того, какие ресурсы хоста пользователь разрешает внутри изолированной среды.