此文是關(guān)于COMODO Internet Security沙盤的一些介紹以及運(yùn)作的原理等，是官方準(zhǔn)備用在新的幫助文件中的，我翻譯了一下（有刪減），希望對大家認(rèn)識了解COMDO 4.0沙盤有幫助。
COMODO沙盤是用來干什么的
CIS（COMODO Internet Security）沙盤是用來在盡可能的易用的基礎(chǔ)上為CIS提供“足夠強(qiáng)度的安全”。沙盤會自動限制未知軟件程序的動作直到這些軟件程序被comodo檢查確認(rèn)。由于是自動限制，所以幾乎沒有任何報警（在CIS4.0版本中全局鉤子和一些特定COM接口報警可能依然會出現(xiàn)，comodo正在解決這些問題。）。由于限制并不是很嚴(yán)格，所以多數(shù)軟件在通過分析審核前都是可以在沙盤中使用的。
CIS沙盤是如何工作的
未知軟件默認(rèn)都是自動隔離在沙盤中運(yùn)行的，除了安裝程序。CIS會提示用戶（自動隔離在沙盤中運(yùn)行時默認(rèn)的設(shè)置，用戶可以通過調(diào)節(jié)“沙盤安全等級”滑塊來關(guān)閉沙盤。comodo通過文件屬性和安裝程序需要管理員特權(quán)的特點來辨認(rèn)安裝程序）。
已知安全的軟件被未知軟件程序調(diào)用也將被限制在沙盤中運(yùn)行，但是不會提示用戶（即使這些安全的程序在CIS的“我的安全文件”列表中或者甚至是一個安裝程序）。自動將未知程序隔離進(jìn)沙盤意味著這些未知程序都將已限制用戶級別運(yùn)行，無法提權(quán)（技術(shù)上來說，在沙盤中運(yùn)行的軟件能夠?qū)懹脖P但是它無法做到：a.寫入（比如感染）被CIS保護(hù)的文件和注冊表鍵值。b.獲取管理員特權(quán)。c.消耗大量系統(tǒng)資源。d.鍵盤記錄或者屏幕抓取，安裝windows鉤子，訪問受保護(hù)的COM接口以及直接在內(nèi)存中訪問運(yùn)行在沙盤外的程序），從很大程序上限制了未知程序?qū)ο到y(tǒng)的破壞，如果它是惡意程序的話。但是這并不意味著這些未知程序所生成的文件和注冊表鍵值是保存在沙盤中的。
把未知程序限制在沙盤中之后這些程序會被上傳給comodo用以分析（在4.0.135239.742版本中上傳服務(wù)可能不是能夠持續(xù)獲得的，所以上傳文件可能需要花費(fèi)一些時間）。如果comodo分析之后認(rèn)為此未知程序是安全的那么就會自動將未知程序從沙盤中移除，如果comodo認(rèn)為它是惡意軟件那么反病毒數(shù)據(jù)庫將會更新，那么下次你運(yùn)行此未知程序的時候就會獲得正常的行為提示而不會自動在沙盤中運(yùn)行。
你仍然可以通過手動設(shè)置讓可疑程序繼續(xù)在沙盤中運(yùn)行，不過這個功能依然在開發(fā)中，現(xiàn)在還不完善。如果你手動設(shè)置某程序在沙盤中運(yùn)行，一些文件或注冊表鍵值默認(rèn)會保存或復(fù)制進(jìn)沙盤中。
下面是官方論壇一位會員對沙盤運(yùn)行原理的分析，其中有部分猜測的，但總體而言很有參考價值，官方有部分也是引用的他的分析。一并在下面引用給大家參閱：
COMODO沙盤的工作機(jī)制：
*.將程序看做一個具有受限系統(tǒng)用戶賬戶權(quán)限和“windows job”權(quán)限的“windows job”。
*.文件虛擬化。文件重定向至C:\Sandbox下。
*.注冊表虛擬化。注冊表鍵值重定向至 Hkey_local_machine\system\sandbox\[app name]\[app created keys]。
*.關(guān)于D+限制的特別設(shè)定。技術(shù)上說，技術(shù)上來說，在沙盤中運(yùn)行的軟件能夠?qū)懹脖P但是它無法做到：a.寫入（比如感染）被CIS保護(hù)的文件和注冊表鍵值。b.獲取管理員特權(quán)。c.消耗大量系統(tǒng)資源。d.鍵盤記錄或者屏幕抓取，安裝windows鉤子，訪問受保護(hù)的COM接口以及直接在內(nèi)存中訪問運(yùn)行在沙盤外的程序。
COMODO沙盤的工作規(guī)則流程：
已知安全的軟件包括已知安全的安裝包程序不會被自動隔離進(jìn)沙盤運(yùn)行。
已知安全的程序的確認(rèn)是通過以下技術(shù)實現(xiàn)的：
1.數(shù)字簽名或hash確認(rèn)；
2.comodo反病毒程序以及云技術(shù)檢測。【譯者注：云技術(shù)檢測需要到未來版本才能實現(xiàn)，因為目前版本還沒有整合comodo的云查殺技術(shù)，但是單獨版本的云查殺掃描器已經(jīng)開發(fā)出來了，整合相信只是時間問題】；
3.comodo白名單和“我的安全文件”列表。
已知不安全的軟件會自動隔離進(jìn)沙盤以受限權(quán)限運(yùn)行，然后當(dāng)本地病毒庫更新后以CIS V3版本的方式處理【譯者注：即如果安裝了 comodo av就提示發(fā)現(xiàn)病毒，進(jìn)行處理。如果沒有安裝comodo av則以V3版本的方式進(jìn)行彈框提示處理】。
未知軟件會自動隔離進(jìn)沙盤，除非CIS認(rèn)為它是一個安裝文件。CIS會自動辨認(rèn)安裝/更新文件并將它們放在沙盤外運(yùn)行。如果CIS認(rèn)為它是一個未知的安裝文件并且請求系統(tǒng)管理員權(quán)限，CIS會詢問你（僅此一次）是否讓它提權(quán)并運(yùn)行。如果你同意，那么該軟件和該軟件的廠商都將會被完全信任，你不會得到有關(guān)該軟件商的任何文件的提示（但是最初提權(quán)的那個提示允許你在允許它提權(quán)運(yùn)行前創(chuàng)建一個還原點【譯者注：這個似乎需要等待時光機(jī)整合進(jìn)CIS 才能實現(xiàn)吧？】。）如果你不同意該安裝文件的提權(quán)請求，那么它將會在沙盤中運(yùn)行，這個安裝文件將不可能正常運(yùn)行。我【原作者】懷疑 CIS可能是通過數(shù)字簽名來辨別文件是否是安裝程序的，或者更有可能是通過該文件是否需要管理員權(quán)限來確認(rèn)？
任何被沙盤內(nèi)程序調(diào)用的程序都將在沙盤中運(yùn)行【譯者注：權(quán)限繼承，沙盤類軟件共有的特色】。
程序自動隔離進(jìn)沙盤運(yùn)行的步驟是這樣的：
*.在沙盤中受限運(yùn)行，一切都將虛擬化；
*.在D+方面加強(qiáng)特殊設(shè)定的限制；
*.使用CIMA（comodo在線病毒分析系統(tǒng)）在后臺進(jìn)行檢測（此功能需要到下個版本實現(xiàn)）；
*.如果在線檢測一切正常，則將其從沙盤中移除。
下面是我畫的一個沙盤工作簡易流程圖，方便大家直觀理解：
擴(kuò)展閱讀：沙盤虛擬化技術(shù)
什么是虛擬化
虛擬化就是一直保持同步復(fù)制。也就是將一個程序所創(chuàng)建的或更新的文件和注冊表鍵值虛擬復(fù)制到同一個地方。通常來說這些被復(fù)制的文件和注冊表鍵值會儲存在硬盤上的同一個文件目錄下河同一個注冊表根鍵值下。一個沙盤可以虛擬一些或所有這些文件和注冊表鍵值。當(dāng)一個程序想要訪問一個被虛擬文件時，沙盤將確保它訪問該文件的虛擬復(fù)制文件而不是該文件自身，沙盤通過攔截和重定向這些通訊來達(dá)成這個目的。
虛擬化的目的
虛擬化可以通過將程序?qū)ο到y(tǒng)的影響限制在一個地方（如特定目錄下）來獲得對軟件的控制，虛擬化不會影響到程序的運(yùn)行（大部分普通程序），因為那些被虛擬的文件和注冊表鍵值是始終存在的。
CIS4的虛擬化技術(shù)是設(shè)計來用于：
*.保護(hù)。通過將這些程序?qū)ο到y(tǒng)的影響限制在指定地點來保護(hù)系統(tǒng)不受惡意軟件和惡意代碼的破壞，并且不影響該程序的運(yùn)行。
*.隱私。CIS4沙盤能夠清楚程序留下的所有使用痕跡。但不能完全清除程序本身（目前還不清楚comodo打算是否重點強(qiáng)調(diào)此功能，雖然虛擬化技術(shù)可以做到這一點，但是目前CIS4的沙盤還沒有使用痕跡清除功能）。
目前CIS4的沙盤已經(jīng)可以使用但是還不成熟。所以它可能還不能完全實現(xiàn)以上的功能，我們希望它能在未來版本中得到不斷改善。
在CIS4中什么情況下會使用到虛擬化技術(shù)
手動添加進(jìn)沙盤的軟件默認(rèn)是虛擬化的。自動隔離進(jìn)沙盤的軟件目前還沒有被虛擬化，但可能會在將來版本實現(xiàn)。這將會使沙盤內(nèi)程序能夠訪問被限制的文件和注冊表，從而使程序能夠更好的運(yùn)行。
CIS4采用了什么方式進(jìn)行虛擬化，為什么？
CIS沙盤虛擬由程序創(chuàng)建的所有文件和注冊表鍵值，除了由軟件安裝包所創(chuàng)建的任何文件和注冊表鍵值，這些文件和注冊表鍵值一般都是有關(guān)程序間通信的程序文件和鍵值。通過避免虛擬化這些文件和鍵值，CIS避免了使用undocumented系統(tǒng)功能設(shè)備來攔截程序的通信，這些設(shè)備在64位系統(tǒng)下是無法工作的。（程序和數(shù)據(jù)間通信不需要使用這些設(shè)備）。
虛擬化技術(shù)是如何整合進(jìn)CIS4中的？
*.對于安裝軟件來說，默認(rèn)設(shè)置下CIS4是不會對安裝包創(chuàng)建的文件和鍵值做虛擬復(fù)制的。但是程序安裝文成后CIS4將會對程序所有創(chuàng)建和修改的文件和鍵值做虛擬復(fù)制。這保證了這些文件和鍵值的虛擬復(fù)制可以被改寫，讀取或運(yùn)行（如果是可執(zhí)行文件的話），那些不是在安裝之后程序創(chuàng)建或修改的文件和鍵值則可以被讀取或運(yùn)行（如果是可執(zhí)行文件的話），但不能被修改。
*.對于所有其他非安裝軟件來說，CIS4將會虛擬復(fù)制所有他們創(chuàng)建或修改的文件和注冊表鍵值，這確保了這些文件和鍵值的虛擬復(fù)制可以被改寫，讀取或運(yùn)行。
comodo沙盤目前還不能做什么
盡管你可以選擇一個程序讓其在沙盤中運(yùn)行，但是CIS目前版本的沙盤和傳統(tǒng)的沙盤如sandboxie是不大一樣的。CIS沙盤不會攔截沙盤中程序的所有動作。CIS沙盤不會將安裝程序或者安裝的程序文件隔離進(jìn)沙盤，所以如果你想要卸載這個安裝程序所安裝的軟件時沙盤是不能清除被安裝的軟件的所有痕跡的。但是通過其他的方法它能夠提供足夠好的保護(hù)（參閱“沙盤是如何工作的”中描述）并且它的這些功能還在不斷地改善中。
某程序想要“提升權(quán)限”，我該怎么辦
當(dāng)CIS遇到一個未知的程序并且此程序被CIS確認(rèn)為安裝程序時CIS會報警提示用戶此程序請求提權(quán)。此安裝程序所需要的權(quán)限超過了CIS沙盤平常授予未知程序的權(quán)限。如果你勾選了“自動識別安裝程序...”設(shè)置，那么CIS將會給予此安裝程序幾乎完全自由的權(quán)限并且沒有任何提示（但是仍然會記錄日志）。
你必須對你所信任的軟件完全放行，除此之外沒有別的辦法。如果你不想完全信任此安裝程序你可以取消“自動識別安裝程序...”設(shè)置，重新運(yùn)行此安裝程序，那么你可以得到所有此安裝程序行為的提示。（對安裝程序給予完全自由的權(quán)限這種方式是否會帶來極大地安全隱患？這個問題目前依然在爭論中，但是這種方式和以前版本CIS對安裝/更新程序的處理方式是共同存在于CIS中的）。
我如何知道哪些東西被隔離進(jìn)了沙盤
CIS會提示你，并且在每一次自動隔離一個程序時會記錄完整的日志。自動被隔離進(jìn)沙盤的程序同時也會出現(xiàn)在“我的待審查文件”列表中和其他被上傳給 comodo分析的文件待在一起。自動隔離進(jìn)沙盤的文件不會出現(xiàn)在“運(yùn)行在沙盤中的程序”列表中，這個列表僅僅顯示手動添加進(jìn)沙盤中的文件。
那么這個沙盤是真的很安全嗎
CIS沙盤是設(shè)計來為大多數(shù)普通用戶提供一個比較好又易用的安全等級，但對一小部分專家級用戶來說并不是最高安全等級。
目前，對于大多數(shù)普通用戶在普通互聯(lián)網(wǎng)環(huán)境下使用來說沙盤可能是一個比較理想的方式，因為這種方式減少了用戶由于過于頻繁的提示而不加思考的對報警點擊 “允許”。而專家級用戶在比較危險地網(wǎng)絡(luò)環(huán)境下使用CIS時可以禁用沙盤，通過他們自己的經(jīng)驗來對D+的提示做出判斷。我是自認(rèn)為是一個有經(jīng)驗的電腦用戶，但是我啟用了沙盤，因為我認(rèn)為它提供了一個足夠好的安全，對用戶的干擾更少。隨著不斷的改進(jìn)我認(rèn)為CIS的沙盤毫無疑問會更安全。
它是成熟的軟件嗎
現(xiàn)在還不是，但是我們承諾將在新的版本中讓它更加的易用和安全。
comodo沙盤能夠在64位系統(tǒng)中工作嗎
是的，除了64位XP其他64位系統(tǒng)都將支持。這也是我們設(shè)計這個沙盤的一個主要原因，大多數(shù)沙盤軟件都不能夠在64位系統(tǒng)下運(yùn)作，因為它們使用了非法的（未公開的）系統(tǒng)設(shè)備來攔截程序間的通信。CIS的沙盤是目前可以正常工作在64位（不包括XP64）下的唯一沙盤。因為CIS沙盤通過對安裝程序不進(jìn)行虛擬重定向從而避免了這一點，也就是說CIS沙盤不需要攔截程序間通信。
聯(lián)系客服
