沙箱环境搭建

何时使用 / 何时不用

• 用：任何涉及运行样本的动态分析（行为分析、回连观察、脱壳验证、动态 API 监控）——动态分析强制前置，默认沙箱为最高原则（见 [[re-analyze/platform-tips]]）
• 用：需要干净、可回滚的隔离环境执行不可信程序
• 不用：纯静态分析（[[re-triage]] / [[re-format-pe]] / [[re-ghidra]] 等）可免沙箱
• 不用：样本已有可信运行环境且用户明确要求本机运行（仍应先说明风险）

工具准备

所有工具先验证再使用。本技能是 [[re-analyze/platform-tips]] 最高原则（默认沙箱，动态执行强制前置）的执行者——所有工具只为让"运行样本"更安全可控。

firejail —— 轻量应用沙箱（最低隔离级别，仅 Linux）