Windows サンドボックスとは — 消えていくディスクイメージの行方

Q: ウイルスのテストに Windows サンドボックスは安全ですか？

メイン システムよりは安全ですが、隔離ラボの代替にはなりません。ネットワークを有効にしたままなら、マルウェアは依然としてネットワークへ到達できます。敵対的なサンプルには .wsb ファイルでネットワークを無効化してください。

Q: Windows サンドボックスの中身が全部消えたのはなぜ？

仕様です。サンドボックスは閉じると破棄される使い捨てディスク イメージで動いており、内部のものはセッション間で何も保持しません。それこそが狙いです。

Windows サンドボックスは、Windows Pro と Enterprise に内蔵された使い捨ての仮想マシンです。起動して、危なそうなことをして、閉じる。それで何も残りません。ファイルも設定もディスクもです。この「消失ショー」こそが機能であり、それを理解すれば、このツールの用途も、ギガバイトの行方も同時に分かります。

インストール不要の完全な仮想マシン

この機能はオプションコンポーネントとして提供されます。Windows の機能ダイアログ（optionalfeatures.exe）で Windows サンドボックスをオンにするか、DISM コマンド一発で有効化すれば、スタートメニューに項目が現れます。要件は控えめながら厳格です。Windows Pro または Enterprise、ファームウェアで有効な仮想化、2 コアと 4 GB 以上の RAM、作業ファイル用に 1～2 GB の空きディスク。

手に入るのは、ウィンドウの中のクリーンで未アクティブな Windows です。ネットワーク、クリップボード共有、コピー＆ペーストが最初から動きます。その正体は Hyper-V ハイパーバイザー上で動く本物の軽量 VM です。コンテナーでもリモートセッションでもなく、ただ閉じたとき何も起きなかったふりをする VM です。

ディスクイメージの行方 — そして消える理由

起動時、サンドボックスは無垢なシステムイメージを読み取り専用でマウントし、その上に一時的な書き込みレイヤー —— 使い捨ての VHDX —— を組み立てて、内側での作業をすべてそこに受け止めます。終了時にこのレイヤーは設計どおり破棄されます。さっきまで使っていたマシンがファイルごと蒸発したのは、このためです。

ベースイメージはクリーンな Windows のスナップショット。サンドボックスは、インストール済みアプリもユーザーのファイルも決して見ません
内部で行ったことはすべて、サンドボックスの動作中にしか存在しない一時的な VHDX に書き込まれます
閉じるとレイヤー全体が破棄されます。ファイルも、レジストリの変更も、インストールしたプログラムも生き残りません
何かを残す正当な手段は、外へのコピー＆ペーストとマップされたフォルダーだけです
クラッシュや電源喪失のあと、一時フォルダーに残る作業ファイルは、サンドボックスを閉じた時点で安全に削除できます
本物の仕事を持ち込んではいけません。明日必要なものにとって、サンドボックスセッションは誤った居場所です

使うべきとき — そして本物の VM が勝るとき

適材適所は短くて怪しい作業です。あの胡散臭いインストーラーを開く、うますぎるダウンロードを試す、メインブラウザーに食べさせたくないリンクを確認する。セッションのコストは 1 分、被害の半径はゼロです。.wsb 設定ファイルでさらに締め上げることもできます。ネットワーク無効、仮想 GPU オフ、フォルダーを読み取り専用で 1 つマップ、などが本当に敵対的なファイルに対する正しい構えです。

そうではないもの、それがセカンド PC です。保持できるスナップショットも、実行間の状態も、道具一式を一度入れて再利用する方法もありません。それには完全な VM（Linux 仕事なら WSL）が正直な答えです。テストしたものを残す必要があるなら VM に置き、確実に消えたことを確認したいなら、それはサンドボックスの本業そのものです。