邮件安全网关的“沙箱检测（Sandboxing / Detonation）”是如何发现未知恶意附件与链接的？

对可疑附件（exe / Office 宏文档 / PDF / 脚本等）不直接在真实网络打开，而是投递到隔离的虚拟执行环境（沙箱 VM）中“引爆（detonate）”，观测其运行行为——是否连接 C2、释放文件、改写注册表、勒索加密等。

先静态查杀（签名 / 启发式 / YARA 规则），命中即拦；仅“可疑”的再进动态沙箱。URL 类链接可在隔离浏览器中实际访问，捕获偷渡下载与钓鱼落地页，弥补静态分析看不到运行时行为的短板。

沙箱记录 syscall / 网络流 / 进程树，一旦命中“恶意行为特征”即判黑，网关据此拦截或隔离该邮件，并把指纹回传威胁情报共享，使同批攻击被全网快速拦截。

高级恶意软件会“环境感知”检测是否在虚拟机/沙箱中而休眠；对策包括无头/轻量沙箱、延迟执行诱捕、与威胁情报联动。沙箱是“未知威胁”的最后一道，不替代签名、DMARC 等前置过滤。