文件沙箱

除防病毒（AV）扫描外，Gateway 还可以将用户下载的、此前未见过的文件隔离到沙箱中，并扫描恶意软件。

当文件下载通过 AV 扫描且未检测到恶意软件时，Gateway 会将该文件隔离到沙箱中。如果该文件此前未被下载过，Gateway 会监控文件行为，并将其与已知恶意软件模式进行比较。在此过程中，Gateway 会在用户浏览器中显示插页。如果沙箱未检测到恶意活动，Gateway 会放行文件并将其下载到用户设备。如果沙箱检测到恶意活动，Gateway 会拦截下载。对于同一文件的后续下载，Gateway 会记住并应用之前的允许/拦截决定。

Gateway 会在你的 HTTP 日志中记录任何文件沙箱决定。

flowchart TD
    A(["用户开始文件下载"]) --> B["文件发送到 AV 扫描器"]
    B --> C["是否检测到恶意文件？"]
    C -- 是 --> D["下载被拦截"]
    C -- 否 --> G["文件发送到沙箱"]
    G --> n1["是否首次下载该文件？"]
    K["是否检测到恶意活动？"] -- 是 --> N["下载被拦截"]
    K -- 否 --> n3["允许下载"]
    n2["扫描期间向用户显示插页"] --> n4["监控文件活动"]
    n1 -- 是 --> n2
    n4 --> K
    n1 -- 否 --> K

    B@{ shape: subproc}
    C@{ shape: hex}
    D@{ shape: terminal}
    n1@{ shape: hex}
    K@{ shape: hex}
    N@{ shape: terminal}
    n3@{ shape: terminal}
    n2@{ shape: display}
    n4@{ shape: rect}
    style D stroke:#D50000
    style N stroke:#D50000
    style n3 stroke:#00C853

要开始隔离已下载的文件，请开启文件沙箱：

1. 在 Cloudflare 仪表板 ↗中，转到 Zero Trust > Traffic policies（流量策略） > Traffic settings（流量设置）。
2. 在 Policy settings（策略设置） 中，开启 Open previously unseen files in a sandbox environment（在沙箱环境中打开此前未见过的文件）。
3. （可选）要拦截包含无法扫描的文件的请求，请选择 Block requests for files that cannot be scanned（拦截无法扫描的文件请求）。

现在你可以创建 Quarantine HTTP 策略，以确定要在沙箱中扫描哪些文件。

要测试文件沙箱是否正常工作，你可以创建一条匹配 Cloudflare Sandbox Test ↗ 的 Quarantine 策略：

1. 在 Cloudflare 仪表板 ↗中，转到 Zero Trust > Traffic policies（流量策略） > Firewall policies（防火墙策略） > HTTP。

2. 选择 Add a policy（添加策略）。

3. 添加以下表达式：

   选择器	运算符	值	操作
   Host（主机）	is（是）	sandbox.cloudflaredemos.com	Quarantine（隔离）

4. 在 Sandbox file types（沙箱文件类型） 中，选择 ZIP Archive (zip)。

5. 从已连接到你的 Zero Trust 组织的设备上，打开浏览器并访问 Cloudflare Sandbox Test ↗。

6. 选择 Download Test File（下载测试文件）。

Gateway 会隔离并扫描该文件，在浏览器中显示插页状态页，然后放行文件以下载。

Gateway 在沙箱化的 Windows 操作系统环境中执行被隔离的文件。沙箱使用机器学习，将某类文件的实际行为与其应有行为进行比较。沙箱可以检测到内核级别的文件操作，并将其与实时恶意软件数据库进行比较。此外，Gateway 还会检查沙箱的网络活动是否存在恶意行为和数据外泄。

文件沙箱支持扫描以下文件类型：

Gateway 无法扫描包含以下文件的请求：

• 大于 100 MB 的文件
• PGP 加密文件