Песочница Windows 11 пригодится, когда хочется открыть незнакомую утилиту, но превращать основной компьютер в полигон совсем не хочется. Она запускает отдельную чистую Windows, а после закрытия удаляет установленные программы и созданные внутри файлы. Это не магический щит от любой угрозы. Зато для аккуратной первичной проверки инструмент заметно удобнее полноценной виртуальной машины.
Сначала проверьте редакцию Windows
Песочница входит в Windows 11 Pro, Enterprise и Education. В домашней редакции штатного компонента нет. Ещё компьютеру нужна включённая аппаратная виртуализация. Быстрая проверка находится в «Диспетчере задач»: откройте вкладку «Производительность», выберите процессор и найдите строку «Виртуализация».
Если там указано «Отключено», параметр придётся включить в UEFI или BIOS. Название зависит от производителя: Intel Virtualization Technology, VT-x, AMD-V или SVM Mode. Не меняйте соседние настройки за компанию. После сохранения снова загрузите Windows и повторите проверку.
Включите компонент один раз
Нажмите поиск в меню «Пуск» и введите «Включение или отключение компонентов Windows». В открывшемся списке отметьте «Песочница Windows», подтвердите установку и перезагрузите компьютер. После этого приложение появится в поиске «Пуска».
Первый запуск занимает больше времени. Перед вами откроется отдельный рабочий стол без ваших приложений и документов. Установленную внутри программу нельзя считать установленной на основном компьютере. Закроете окно — среда очистится. Перезапуск внутри песочницы, напротив, может сохранить сеанс до окончательного закрытия.
Важно: по умолчанию песочница получает доступ к сети и общему буферу обмена. Для подозрительного файла безопаснее сначала отключить оба канала.
Сделайте строгий профиль без сети
Создайте на рабочем столе обычный текстовый файл. Вставьте конфигурацию ниже и сохраните его под именем «Безопасная проверка.wsb». В окне сохранения выберите тип «Все файлы», иначе Блокнот незаметно добавит расширение .txt.
<Configuration>
<Networking>Disable</Networking>
<ClipboardRedirection>Disable</ClipboardRedirection>
<PrinterRedirection>Disable</PrinterRedirection>
<AudioInput>Disable</AudioInput>
<VideoInput>Disable</VideoInput>
<ProtectedClient>Enable</ProtectedClient>
</Configuration>Дважды щёлкните по файлу WSB. Такой профиль не даст программе скачать дополнительные компоненты, увидеть локальную сеть или прочитать содержимое буфера. Microsoft отдельно предупреждает: включённая сеть расширяет поверхность атаки. Режим Protected Client добавляет ограничения AppContainer, хотя некоторые приложения из-за него могут работать не полностью.
Передавайте только копию файла
При отключённом буфере простого Ctrl+C не хватит. Самый спокойный вариант — создать отдельную папку с копией установщика и подключить её только для чтения. Не используйте «Документы», «Рабочий стол» или каталог с реальными проектами.
<Configuration>
<Networking>Disable</Networking>
<ClipboardRedirection>Disable</ClipboardRedirection>
<MappedFolders>
<MappedFolder>
<HostFolder>C:\Sandbox-Input</HostFolder>
<ReadOnly>true</ReadOnly>
</MappedFolder>
</MappedFolders>
</Configuration>Создайте `C:\Sandbox-Input`, положите туда копию файла и запустите WSB. Общая папка появится на рабочем столе песочницы. Флаг ReadOnly мешает гостевой программе переписать оригинал, но не скрывает его содержимое. Поэтому никаких паролей, ключей и рабочих документов рядом быть не должно.
Что смотреть во время проверки
Не спешите нажимать «Далее» в установщике. Сначала откройте свойства файла, посмотрите цифровую подпись и издателя. Затем запустите программу и оцените её поведение. Просит ли простой конвертер права администратора? Добавляет ли неизвестные службы? Пытается ли сменить домашнюю страницу браузера? Несоответствие обещанной функции и запрошенных прав — хороший повод остановиться.
Песочница удобна и для бытовых экспериментов. В ней можно проверить новый архиватор, открыть документ из сомнительного письма или посмотреть интерфейс программы без следов в основной Windows. Но результат «ничего странного не произошло» не доказывает безопасность: вредоносный код способен ждать сеть, дату или обычную систему.
Когда песочницы недостаточно
Не вводите внутри реальные пароли и банковские данные. Не подключайте записью папку хоста. Не включайте сеть только ради того, чтобы установщик «докачал пару файлов», если источник уже вызывает сомнения. Для серьёзного анализа нужны отдельная виртуальная машина, журналирование трафика и опыт специалиста.
Перед запуском также полезно сверить контрольную сумму файла. Мы разберём SHA-256 в отдельном материале. А базовую защиту основной системы стоит проверить по инструкции о безопасном обновлении драйверов и статье про точку восстановления Windows 11.
Частые вопросы
Песочница заменяет антивирус?
Нет. Она уменьшает последствия запуска, но не подтверждает безопасность файла. Защитник Windows и проверка источника всё равно нужны.
Почему пункта «Песочница Windows» нет в компонентах?
Чаще всего установлена Windows 11 Home или отключена виртуализация. Проверьте редакцию в разделе «Система → О системе».
Можно ли сохранить программу после закрытия?
Нет, обычная песочница одноразовая. Сохраните только безопасный результат в заранее подготовленную общую папку, если она действительно нужна.
Где описаны параметры WSB?
Полный список находится в документации Microsoft. Обзор принципов работы опубликован на Microsoft Learn.
Проверка в одну минуту
Запустите строгий WSB-профиль, убедитесь, что браузер не открывает сайты, а Ctrl+V не переносит текст с хоста. После теста закройте окно и согласитесь удалить содержимое. Следующий запуск должен встретить вас чистым рабочим столом. Именно эта предсказуемость и делает песочницу полезной домашней лабораторией.
Комментарии 0