Windows Sandbox в Windows 10 и 11
Включить · Настроить · Использовать

Что такое Windows Sandbox? Встроенный одноразовый рабочий стол Windows

Windows Sandbox — это лёгкая временная виртуальная машина, встроенная непосредственно в Windows 10 и Windows 11. Она предоставляет изолированную среду рабочего стола, в которой можно запускать приложения, посещать веб-сайты или открывать файлы, которым вы не полностью доверяете, — без какого-либо риска для основной операционной системы.

Функция появилась в Windows 10 версии 1903 (обновление от мая 2019 года). Sandbox — это, по сути, чистая свежая копия Windows, которая запускается за считанные секунды. Как только вы закрываете окно Sandbox, всё, что в нём находилось — загруженные файлы, изменения реестра, установленные программы — безвозвратно и навсегда удаляется. Основная система остаётся полностью нетронутой.

Чем Sandbox отличается от обычной виртуальной машины?

Традиционные решения для виртуализации, такие как VMware или Hyper-V, требуют получения полного образа ОС, выделения дискового пространства и управления постоянными снапшотами. Windows Sandbox принципиально отличается: она использует технологию динамического базового образа, совместно используя неизменяемые файлы ОС с хостом через семантику копирования при записи (copy-on-write). Это означает, что Sandbox практически не занимает дополнительного дискового пространства для слоя операционной системы.

В результате время запуска исчисляется секундами (обычно 2–5 секунд), потребление памяти минимально (около 100 МБ выделенных накладных расходов ОЗУ), а постоянного хранилища для слоя ОС и вовсе нет. Для быстрых одноразовых тестовых сессий в экосистеме Windows ничто не приближается к этому уровню эффективности.

Как работает Windows Sandbox изнутри: архитектура простым языком

Понимание внутреннего устройства Windows Sandbox помогает по-настоящему оценить её модель безопасности и характеристики производительности. Microsoft разработала её на основе трёх ключевых технологий, работающих в связке.

Динамический базовый образ

Sandbox не хранит на диске полную копию операционной системы. Вместо этого она использует динамически генерируемый базовый образ, который напрямую отображается на чистые системные файлы вашего хостового диска. Отдельно в формате разреженного диска сохраняются лишь файлы, отличающиеся от хоста (контент, созданный пользователем, загруженные файлы, установленные приложения). Типичный объём слоя ОС составляет около 100 МБ — в сравнении с гигабайтами у традиционных ВМ.

Изоляция ядра через аппаратную виртуализацию

Windows Sandbox работает под капотом как контейнер Hyper-V, что обеспечивает изоляцию на аппаратном уровне. Ядро Sandbox полностью отделено от ядра хоста: уязвимость, эксплуатируемая внутри Sandbox, не может напрямую затронуть хостовую ОС. Архитектура VM Bus и VSP/VSC управляет всем обменом данными между хостом и гостем с жёсткими границами.

Встроенный планировщик ядра

Чтобы предотвратить снижение производительности хоста, Microsoft разработала специальный планировщик, который гарантирует обработку виртуальных процессоров Sandbox с низким приоритетом с точки зрения CPU хоста. Когда основная рабочая нагрузка нуждается в ресурсах, Sandbox автоматически освобождает их. Это означает, что вы можете работать в Sandbox параллельно с обычным рабочим процессом без ощутимого замедления.

Системные требования Windows Sandbox: совместим ли ваш ПК?

Прежде чем пытаться включить Windows Sandbox, убедитесь, что ваша система соответствует всем перечисленным ниже требованиям. Несоответствие хотя бы одному из них не позволит функции работать корректно.

Как проверить редакцию и версию Windows

Нажмите Win + R, введите winver и нажмите Enter. В открывшемся диалоговом окне будут указаны текущая редакция Windows и номер сборки. Также можно перейти в Параметры → Система → О системе и найти строки «Выпуск» и «Сборка ОС».

Как проверить, включена ли виртуализация

Откройте Диспетчер задач (Ctrl + Shift + Esc), перейдите на вкладку Производительность, выберите ЦП и найдите внизу строку «Виртуализация». Там должно быть написано Включена. Если указано «Отключена», зайдите в настройки BIOS/UEFI и включите Intel VT-x (Intel-системы) или AMD-V / SVM Mode (AMD-системы).

Как включить Windows Sandbox в Windows 10: пошаговая инструкция

Существует три способа включить Windows Sandbox в Windows 10. Все три дают одинаковый результат — выберите наиболее удобный. После активации функции требуется перезагрузка.

Способ 1: Компоненты Windows (графический интерфейс) — рекомендуется

1. Нажмите Win + S и найдите «Включение или отключение компонентов Windows», затем откройте этот пункт.
2. Прокрутите список вниз и найдите Windows Sandbox.
3. Установите флажок рядом с Windows Sandbox и нажмите ОК.
4. Windows загрузит и установит необходимые компоненты. В зависимости от скорости интернета это займёт несколько минут.
5. При появлении запроса нажмите Перезагрузить сейчас.
6. После перезагрузки найдите «Windows Sandbox» в меню «Пуск» — она появится как обычное приложение.

Способ 2: PowerShell (рекомендуется для администраторов)

Откройте PowerShell от имени администратора и выполните следующую команду:

PowerShell — Запуск от имени администратора
Enable-WindowsOptionalFeature -FeatureName "Containers-DisposableClientVM" -Online -All

PowerShell предложит выполнить перезагрузку. Введите Y и нажмите Enter для немедленной перезагрузки или N, чтобы перезагрузить позже вручную.

Способ 3: DISM через командную строку

Откройте командную строку от имени администратора и выполните:

Командная строка — Запуск от имени администратора
dism /online /Enable-Feature /FeatureName:"Containers-DisposableClientVM" /All /NoRestart

Параметр /NoRestart подавляет автоматическую перезагрузку. Перезагрузите компьютер вручную, когда будете готовы.

Как включить Windows Sandbox в Windows 11: пошаговая инструкция

Процесс в Windows 11 практически идентичен Windows 10, однако интерфейс был обновлён. Ниже приведены три способа для Windows 11.

Способ 1: Дополнительные компоненты в Параметрах (нативный способ для Windows 11)

1. Откройте Параметры сочетанием Win + I и перейдите в Система → Дополнительные компоненты.
2. Прокрутите вниз и нажмите «Другие компоненты Windows» в нижней части страницы.
3. Откроется классический диалог «Компоненты Windows». Найдите и отметьте Windows Sandbox.
4. Нажмите ОК и дождитесь завершения установки.
5. При запросе выполните перезагрузку.

Способ 2: PowerShell в Windows 11

Команда идентична той, что используется в Windows 10:

PowerShell — Запуск от имени администратора
Enable-WindowsOptionalFeature -FeatureName "Containers-DisposableClientVM" -Online -All

Проверка установки

После перезагрузки откройте меню «Пуск» и найдите Windows Sandbox. Значок приложения должен появиться. Щёлкните правой кнопкой мыши, чтобы закрепить его на панели задач или в меню «Пуск» для быстрого доступа.

Первый запуск и использование Windows Sandbox

После включения Windows Sandbox очень проста в использовании. Вот как проходит первая сессия.

Запуск Sandbox

Найдите Windows Sandbox в меню «Пуск» и запустите её. Поскольку она работает с повышенными привилегиями Hyper-V, Windows запросит подтверждение через UAC — нажмите Да. Окно Sandbox откроется в течение 2–5 секунд и отобразит чистый рабочий стол Windows внутри изменяемого окна.

Среда рабочего стола Sandbox

Внутри Sandbox вы получаете полнофункциональную, но временную Windows-сессию: меню «Пуск», Проводник, Microsoft Edge и базовый набор приложений Windows. Важно отметить, что Sandbox запускает ту же версию Windows, что и ваш хост — никаких вопросов совместимости. Разрешение рабочего стола динамически подстраивается под размер окна Sandbox.

Передача файлов: копировать-вставить и перетащить

Самый простой способ перенести файлы в Sandbox — скопировать их на хосте (Ctrl+C) и вставить внутри Sandbox (Ctrl+V). Можно вставлять прямо на рабочий стол Sandbox или в открытое окно Проводника внутри неё. Перетаскивание между хостом и окном Sandbox также работает. Текст в буфере обмена по умолчанию передаётся в обоих направлениях.

Завершение сессии

Достаточно нажать кнопку X в заголовке окна Sandbox или завершить работу изнутри через Пуск → Питание → Завершение работы. Будет запрошено подтверждение, поскольку все данные будут потеряны. Сессия завершается корректно, и все ресурсы виртуализации немедленно освобождаются.

Расширенная настройка Windows Sandbox с помощью файлов .wsb

Windows Sandbox поддерживает мощный формат конфигурации через файлы .wsb (Windows Sandbox Configuration files). Это простые XML-документы, позволяющие настроить среду Sandbox: монтировать папки хоста, запускать скрипты при старте, управлять сетью и многое другое.

Создание файла конфигурации .wsb

Файл .wsb — это XML-файл в кодировке UTF-8 с расширением .wsb. Двойной щелчок по нему запускает сессию Sandbox с применением заданной конфигурации. Создать его можно в «Блокноте» или любом текстовом редакторе.

Базовый шаблон .wsb
<Configuration>
  <Networking>Disable</Networking>
  <VGpu>Enable</VGpu>
  <MappedFolders>
    <MappedFolder>
      <HostFolder>C:\Users\ВашеИмя\Desktop\ТестовыеФайлы</HostFolder>
      <SandboxFolder>C:\Users\WDAGUtilityAccount\Desktop\ТестовыеФайлы</SandboxFolder>
      <ReadOnly>true</ReadOnly>
    </MappedFolder>
  </MappedFolders>
  <LogonCommand>
    <Command>C:\Users\WDAGUtilityAccount\Desktop\ТестовыеФайлы\setup.bat</Command>
  </LogonCommand>
</Configuration>

Все доступные параметры конфигурации

Пример: конфигурация для офлайн-анализа безопасности

Реальная конфигурация для безопасного анализа подозрительного установщика — без доступа в интернет и с доступом только для чтения к общей папке с файлом:

oflayn-analiz-bezopasnosti.wsb
<Configuration>
  <Networking>Disable</Networking>
  <VGpu>Disable</VGpu>
  <MemoryInMB>2048</MemoryInMB>
  <ClipboardRedirection>Disable</ClipboardRedirection>
  <MappedFolders>
    <MappedFolder>
      <HostFolder>C:\Карантин\ПодозрительныеФайлы</HostFolder>
      <SandboxFolder>C:\Users\WDAGUtilityAccount\Desktop\Карантин</SandboxFolder>
      <ReadOnly>true</ReadOnly>
    </MappedFolder>
  </MappedFolders>
</Configuration>

Практические сценарии использования Windows Sandbox

Windows Sandbox — универсальный инструмент, возможности которого далеко выходят за рамки запуска подозрительных файлов. Вот наиболее ценные реальные сценарии применения.

1. Тестирование подозрительного ПО перед установкой

Это самый популярный сценарий. Прежде чем запускать установщик с незнакомого сайта, поместите его в Sandbox и сначала установите там. Наблюдайте за поведением: запускает ли он дополнительные процессы? Устанавливает ли расширения браузера? Соединяется ли с необычными IP-адресами? Всё это можно безопасно отследить, а после закрытия Sandbox на вашей системе не останется никаких следов.

2. Безопасный просмотр недоверенных сайтов

Нужно посетить подозрительную ссылку или проверить URL из фишингового письма? Откройте Sandbox, запустите Edge и работайте оттуда. Drive-by загрузки, вредоносные скрипты и наборы эксплойтов будут полностью изолированы. История браузера, куки и учётные данные вашей основной системы останутся нетронутыми.

3. Разработка и тестирование ПО

Разработчики могут использовать Sandbox для тестирования установщиков, скриптов развёртывания или поведения приложений в чистой среде. Убедитесь, что ваше приложение корректно работает на чистой установке Windows без дополнительных зависимостей. Это особенно ценно при тестировании мастеров установки и деинсталляторов без необходимости в отдельной тестовой ВМ.

4. Оценка бесплатного и условно-бесплатного ПО

Многие бесплатные программы содержат в установщиках рекламное ПО, угонщики браузера или ПНП (потенциально нежелательные программы). Сначала установите их в Sandbox, чтобы оценить поведение. Если программа окажется легитимной и полезной, смело устанавливайте её на основной системе.

5. Воспроизведение и исследование ошибок

IT-специалисты и техники поддержки могут использовать Sandbox для воспроизведения проблем в чистом состоянии Windows, исключая переменную «у меня работает». Добавьте скрипт LogonCommand в файл .wsb, который автоматически устанавливает нужное ПО, — получите воспроизводимую тестовую среду при каждом запуске.

6. Безопасное открытие файлов и анализ документов

Получили файл Word или Excel от неизвестного отправителя? Откройте его сначала в Sandbox. Даже если он содержит вредоносные макросы или эксплойты, они не смогут преодолеть границу Hyper-V и затронуть вашу основную систему.

Windows Sandbox: плюсы, минусы и альтернативы

Альтернативы Windows Sandbox

Часто задаваемые вопросы о Windows Sandbox