用途：为运行不可信样本的动态分析（行为分析、回连观察、脱壳验证、动态 API 监控）提供强制前置的隔离环境，目标是让运行样本安全可控、可回滚。纯静态分析可免沙箱。
主要能力：按隔离级别从高到低选择 VM 快照、容器、firejail；网络隔离分断网、fake DNS、INetSim 三档；建立与恢复快照；通过只读共享、禁用剪贴板/拖放实现样本传入传出；可选 Cuckoo/CAPE 自动化沙箱。
必要用法：firejail 用 apt install firejail 安装，--version 验证，--list 查看，常用 --private、--net=none、--dns=<ip>，关停用 firejail --shutdown=<name|pid>（无 --clean 选项）。Docker 用 docker --version 与 docker run --rm hello-world 验证，docker commit <container> sandbox-image:v1 留档，docker rm -f <container> 清理。VirtualBox 用 VBoxManage snapshot <vm> take clean 与 VBoxManage snapshot <vm> restore clean。VMware 用 vmrun snapshot <vm> clean。INetSim 在 Linux VM 内运行并记录样本请求。CAPE 通过 git clone https://github.com/kevoreilly/CAPEv2 与 pip install -r requirements.txt 搭建。传入前用 sha256sum 对样本存证。
适用场景：未知或高威胁样本默认用 VM 快照；低风险 Linux 二进制快速测试可用容器；只需限制文件系统与网络可临时用 firejail。C2 流量捕获配合 INetSim 与 fake DNS。
限制：firejail 是用户态隔离，容器共享宿主内核，二者都不防内核漏洞与提权；NAT 默认允许出站，不能当断网用；VM 需禁用 Guest Additions 防逃逸检测；自动化沙箱首次搭建成本高。沙箱隔离不等于环境伪装，时间、硬件、输入类指纹仍可能被样本识别，需按指纹类别定位检测点。各工具版本与平台支持差异以实测为准。