本地沙箱的部署
本地沙箱的部署
本方案把 FortiClient 发现的未知或可疑文件提交到组织部署的 FortiSandbox appliance。FortiSandbox 在隔离环境中分析文件并返回风险判定；FortiClient 根据 EMS 策略允许访问、告警或隔离，并把事件上报 EMS。
注
本文以 EMS/FortiClient 7.4 为例。FortiSandbox、EMS 和 FortiClient 的兼容版本、端口、证书与授权流程应以实际版本的兼容性矩阵和管理指南为准。
先决条件
- FortiSandbox appliance 已完成基础部署、许可、系统时间、DNS、路由和更新配置。
- EMS、FortiClient 和 FortiSandbox 版本兼容，目标终端安装了 Sandbox Detection 组件。
- EMS 与 FortiSandbox 管理接口之间、终端与 FortiSandbox 文件提交接口之间所需网络路径可达。
- 准备 FortiSandbox 的 IP 地址或 FQDN。需要从 EMS 打开详细报告时，还应准备有效的 FortiSandbox 用户名和密码。建议使用专用账号，并按实际版本支持的权限范围授予必要权限；这是运维建议，EMS 文档未指定最低权限角色。
- 已确认文件样本、哈希、行为结果和日志的保留、隐私及取证要求。
- 已建立测试终端组，并准备超时、沙箱离线和误报情况下的回退方案。
部署步骤
1. 创建 Sandbox 配置文件
- 登录 EMS，进入 Endpoint Profiles > Sandbox。新建、编辑或复制配置文件。
- 打开Sandbox Profile 总开关
- 增加配置文件名（Name） 后，在 FortiSandbox 中选择 Appliance。
- 在 IP address/Hostname 中输入本地 FortiSandbox 的管理地址或 FQDN。
- 按需填写 Username 和 Password。这些凭据主要用于在 EMS 中查看详细 FortiSandbox 报告，应使用专用低权限账号并定期轮换。
- 单击 Test Connection，确认 EMS 能与 FortiSandbox 通信。
- 确认到EMS和FortiSandbox存在连接。
2. FortiSandbox上对EMS进行授权
- 登录 FortiSandbox，进入 Security Fabric > Device。这时能看到刚刚发起的EMS的授权信息。
注
如果没有显示，请再次在EMS上点击Test Connection，并检查EMS和FortiSandbox之间的连接(TCP/514)。
- 单击EMS的条目，并单击Edit按钮，编辑该EMS条目
- 打开 Authorized（授权） 开关，并单击 Apply（应用）。
- 完成后可以看到设置被更新，如果此时 Connection Status（连接状态） 依然显示 Disconnected（未连接），则回到 EMS 中点击 Test Connection（测试连接） 按钮。
- 确认EMS显示Sandbox正常连接
3. 配置检查范围和检测模式
| 设置 | 中文说明 | 建议 |
|---|---|---|
| Inspection Mode: None | 不提交文件检查 | 仅用于停用或排错 |
| Inspection Mode: High-Risk Files | 检查受支持的高风险文件，例如可执行文件、脚本、Office、PDF 和压缩文件 | 一般终端的部署起点 |
| Inspection Mode: All Supported Extensions | 检查所有受支持扩展名；EMS 7.4 文档中仅 appliance 场景提供 | 高安全场景先评估容量与延迟 |
| Excluded File Extensions | 不提交指定扩展名 | 默认留空，只做有依据的最小排除 |
在 File Submission Options 中按业务来源选择：
- File Size Limit（文件大小限制）：单个提交文件的大小上限。EMS 7.4 配置文档中默认 200 MB，本地 appliance 可配置至 500 MB；FortiClient 7.4.0 功能指南另写提交限制为 200 MB，超过 200 MB 的实际支持情况应结合客户端版本验证。
- All Files Executed from Removable Media：提交从 U 盘、移动硬盘等介质执行的文件。
- All Files Executed from Mapped Network Drives：提交从映射网络驱动器执行的文件。
- All Web Downloads：提交 Web 下载文件。
- All Email Downloads：提交邮件客户端下载的文件。
注意
提交范围越大，未知威胁覆盖越高，但会增加带宽、队列、存储和首次访问等待时间。建议从高风险文件及 Web/邮件下载开始试点。
4. 配置访问等待和失败策略
- Wait for FortiSandbox Results before Allowing File Access：在结果返回前阻止用户访问文件，并设置等待超时。适用于需要在首次执行前完成判定的场景。
- Timeout（超时时间）：等待结果的时间，单位为秒。截图提示等待超时仍未收到结果时允许访问；应结合“无结果拒绝”选项验证实际行为。
- Deny Access to File When There Is No Sandbox Result（没有沙箱结果时拒绝文件访问）：没有 FortiSandbox 结果时拒绝访问下载文件，例如沙箱离线。不要把正常分析等待超时与服务不可达视为完全相同的情况，需分别验收。 对两个选项的策略组合，以下是相关场景对比：
| 组合 | 安全性 | 可用性 | 典型用途 |
|---|---|---|---|
| 不等待、不拒绝无结果 | 较低 | 最高 | 观察期或低风险终端 |
| 等待、超时后允许 | 中等 | 较高 | 一般办公试点 |
| 等待、无结果拒绝 | 最高 | 受沙箱可用性影响最大 | 高价值终端或严格管控区 |
5. 配置处置动作
- 在 Action 中选择：
- Quarantine：达到判定阈值时隔离文件，适合作为生产防护目标。
- Alert & Notify：记录并通知用户，不自动隔离，适合初期观察和误报评估。
- 在 FortiSandbox Detection Verdict Level 中选择触发动作的最低风险级别。只有返回级别达到或超过该阈值时才执行所选动作。
- 初期可用较高阈值配合 Alert & Notify 观察；完成误报验证后，再根据风险下调阈值或改为 Quarantine。
警告
同时下调判定阈值、启用隔离和“无结果拒绝”会明显扩大阻断范围。应分阶段修改，每次只改变一类控制并观察事件和业务影响。
6. 配置排除和包含范围
- Exclude Files from Trusted Sources：跳过受 FortiSandbox 信任来源签名的文件，可降低提交量，但会扩大信任边界。
- Exclude Specified Folders/Files：排除明确路径。应记录业务理由、负责人和复审日期。
- Include Specified Folders/Files（包含指定文件夹／文件）：把列表中的路径纳入 FortiSandbox 文件提交范围，启用后还需创建包含列表。官方未说明这是“只扫描列表路径”的开关，不能据此认定其他来源均不再提交。
7. 下发配置
- 单击Save按钮， 保存 Sandbox 配置文件。
- 进入 Endpoint Policy & Components > Manage Policies。创建新策略或者编辑现有策略
- 让测试组策略引用该 Sandbox 配置文件，检查策略优先级并保存。
- 等待 Telemetry 通信，在终端详情中确认配置已经生效。
验证与验收方法示例
- EMS 的 Test Connection 成功，FortiSandbox 显示 EMS 已授权。
- 测试终端命中预期策略，Sandbox Detection 状态正常。
- 使用组织批准的无害样本或厂商测试方法验证提交，不要向生产沙箱上传真实敏感数据或运行真实恶意软件。
- 在 FortiSandbox 确认样本进入任务队列并产生判定。
- 在 EMS Sandbox Events 中确认文件元数据、风险级别、终端和处置结果一致。
- 验证详细报告可打开，隔离记录可在 Quarantine Management 追踪。
- 模拟维护窗口内的服务不可达，确认超时和无结果策略符合预期。
所有选项的中文说明
配置文件界面
| 英文选项 | 中文名称 | 说明 |
|---|---|---|
| Sandbox Profile / Sandbox Detection | 沙箱配置文件／沙箱检测 | 启用或停用沙箱功能；截图显示为 Sandbox Profile，7.4 文档使用 Sandbox Detection。 |
| Name | 名称 | 配置文件的识别名称，便于在终端策略中选择和维护。 |
| Basic | 基本视图 | 显示常用配置。 |
| Advanced | 高级视图 | 显示更多高级配置项。 |
| XML | XML 配置 | 查看或编辑配置 XML；使用前需确认版本支持。 |
| Eye icon | 可见性图标 | 控制终端 FortiClient 是否显示该功能；不等同于启用检测。密码旁的眼睛图标用于显示或隐藏密码。 |
| Save | 保存 | 保存配置；还需在终端策略中引用才能下发。 |
| Discard Changes | 放弃更改 | 丢弃未保存的修改。 |
| Expand All | 全部展开 | 展开所有配置分组。 |
| Collapse All | 全部折叠 | 收起所有配置分组。 |
Server（服务器）
| 英文选项 | 中文名称 | 说明 |
|---|---|---|
| FortiSandbox: Appliance | 设备模式 | 对接本地 FortiSandbox appliance；该模式也可用于 FortiSandbox Cloud，不能仅凭 Appliance 判定数据一定留在本地。 |
| FortiSandbox: Cloud | 云模式 | 对接 FortiClient Cloud Sandbox（SaaS），本地部署不选择此项。它与 Appliance 模式下连接的 FortiSandbox Cloud 是不同服务。 |
| IP address/Hostname | IP 地址／主机名 | 填写 FortiSandbox 的 IP、完整域名 FQDN 或主机名；使用名称时需确保可解析且网络可达。 |
| Account ID | 账号 ID | 用于通过 FQDN 配置 FortiSandbox Cloud。本地 appliance 通常留空，不是本地 FortiSandbox 用户名。 |
| Username | 用户名 | FortiSandbox 用户名；从 EMS 查看详细沙箱报告需要填写。 |
| Password | 密码 | 上述账号的密码；从 EMS 查看详细沙箱报告需要填写。 |
| Test Connection | 测试连接 | 检查 EMS 能否与指定 FortiSandbox 通信；成功后仍需确认设备授权、终端提交和报告访问。 |
| Region | 区域 | FortiClient Cloud Sandbox（SaaS）服务区域，本地部署无需配置。 |
| Time Offset | 时间偏移 | FortiClient Cloud Sandbox（SaaS）时间偏移，本地部署无需配置。 |
| License Status | 许可证状态 | 显示云沙箱许可证状态，本地部署不使用此项。 |
| Inspection Mode | 检查模式 | 决定检查哪些文件类型；还需结合来源、大小、包含和排除规则判断是否提交。 |
| Excluded File Extensions | 排除的文件扩展名 | 选择不参与沙箱检查的扩展名，可多选。 |
| Wait for FortiSandbox Results before Allowing File Access | 允许访问文件前等待沙箱结果 | 暂缓文件访问，等待沙箱判定；关闭时用户可在结果返回前访问文件。 |
| Timeout | 超时时间 | 等待结果的时长，单位为秒；需与无结果拒绝策略一起验证。 |
| Deny Access to File When There Is No Sandbox Result | 无沙箱结果时拒绝访问文件 | 没有判定时拒绝访问下载文件，例如沙箱离线。 |
检查模式
| 英文取值 | 中文名称 | 行为 |
|---|---|---|
| None | 无 | 不提交文件检查。 |
| High-Risk Files | 高风险文件 | 检查支持的高风险类型并按条件提交。 |
| All Supported Extensions | 所有受支持扩展名 | 检查沙箱支持的全部扩展名并按条件提交；7.4 文档中仅 appliance 提供。 |
File Submission Options（文件提交选项）
| 英文选项 | 中文名称 | 说明 |
|---|---|---|
| File Size Limit | 文件大小限制 | 限制单个提交文件大小，单位为 MB；配置范围及实际客户端限制见上文。 |
| All Files Executed from Removable Media | 从移动介质执行的所有文件 | 提交从 U 盘等移动介质执行的文件，这是 7.4 文档的字段名称。 |
| All Files Accessed from Removable Media | 从移动介质访问的所有文件 | 本文截图的字段名称。Accessed 表示“访问”，范围表述与 Executed（执行）不同，应按当前版本的字段帮助和实测确认触发条件。 |
| All Files Executed from Mapped Network Drives | 从映射网络驱动器执行的所有文件 | 提交从映射盘执行的文件；部分版本或视图可能不显示该项。 |
| All Web Downloads | 所有网页下载 | 提交网页下载文件；仍需符合其他提交条件。 |
| All Email Downloads | 所有邮件下载 | 提交邮件客户端下载文件；仍需符合其他提交条件。 |
Remediation Actions（处置动作）
| 英文选项 | 中文名称 | 说明 |
|---|---|---|
| Action | 动作 | 选择检测达到风险阈值后如何处置文件。 |
| FortiSandbox Detection Verdict Level | 沙箱检测判定级别 | 执行动作的最低风险阈值。选 Medium 时，Medium、High 和 Malicious 均触发所选动作。 |
处置动作
| 英文取值 | 中文名称 | 行为 |
|---|---|---|
| Quarantine | 隔离 | 达到阈值时隔离文件。 |
| Alert & Notify | 告警并通知 | 不自动隔离；访问仍受等待和无结果拒绝策略影响。 |
判定风险级别
| 英文取值 | 中文名称 | 含义 |
|---|---|---|
| Clean | 干净 | 未判定为风险文件。 |
| Low Risk / Low | 低风险 | 风险低于 Medium。 |
| Medium | 中风险 | 以此为阈值时，Medium、High、Malicious 均触发动作。 |
| High | 高风险 | 以此为阈值时，High、Malicious 触发动作。 |
| Malicious | 恶意 | 以此为阈值时，仅恶意判定触发动作。 |
上表说明判定顺序，实际下拉框可选阈值以当前版本为准；不要把风险等级名称与 XML 数字评分直接等同。
Exceptions（排除项）
| 英文选项 | 中文名称 | 说明 |
|---|---|---|
| Exclude Files from Trusted Sources | 排除可信来源文件 | 不提交由可信来源签名的文件；这不是跳过所有已下载或管理员认为可信的文件。 |
| Exclude Specified Folders/Files | 排除指定文件夹／文件 | 启用并配置排除列表，列表中的路径不提交；应限制排除范围。 |
| Folders | 文件夹 | 填写当前包含或排除列表中的目录路径。 |
| Files | 文件 | 填写当前包含或排除列表中的文件路径。 |
排除路径支持 * 通配符及 %allusersprofile%、%appdata%、%localappdata%、%systemroot%、%systemdrive%、%userprofile%、%windir%。例如 Edb*.jrs 匹配指定前缀和扩展名的文件，*.jrs 匹配该扩展名的文件；通配符与上述变量可以组合使用。
Inclusions（包含项）
| 英文选项 | 中文名称 | 说明 |
|---|---|---|
| Include Specified Folders/Files | 包含指定文件夹／文件 | 启用并创建包含列表，把指定路径纳入提交；不应解释成仅提交这些路径。 |
| Folders | 文件夹 | 填写当前包含或排除列表中的目录路径。 |
| Files | 文件 | 填写当前包含或排除列表中的文件路径。 |
Other（其他设置）
| 英文选项 | 中文名称 | 说明 |
|---|---|---|
| Hide Sandbox Scan from Windows Explorer's Context Menu | 在 Windows 资源管理器右键菜单中隐藏沙箱扫描 | 启用后隐藏右键的手动提交入口，自动沙箱检测仍由策略控制。 |
| Notification Type | 通知类型 | 控制终端通知显示方式。7.4 EMS 文档在云沙箱场景描述此项；本地版本如显示该项，应结合客户端验证。 |
通知类型
| 英文取值 | 中文名称 | 行为 |
|---|---|---|
| Lite | 简洁通知 | 提交发现恶意软件时显示气泡通知。 |
| Full | 完整通知 | 对每次文件提交显示弹窗。 |
| None | 无通知 | 不显示提交、恶意软件检测或隔离通知。 |
FortiSandbox 侧 EMS 设备设置
| 英文选项 | 中文名称 | 说明 |
|---|---|---|
| Authorized | 授权 | 授权 EMS 设备，其管理的 FortiClient 终端继承该授权。 |
| Submission Limitation | 提交限制 | 限制 EMS 管理终端的提交速率。 |
| Unlimited | 不限 | 不设置此项提交数量限制，实际能力仍受设备容量影响。 |
| Hour / Day | 每小时／每天 | 按小时或天设置提交数量限制。 |
| Apply / OK | 应用／确定 | 保存设备设置，按钮名称因版本而异。 |
| Connection Status | 连接状态 | 显示当前连接状态；Disconnected 表示未连接，应重新测试并检查网络。 |
推荐部署基线
| 项目 | 建议起点 |
|---|---|
| Inspection Mode | High-Risk Files |
| 来源 | Web Downloads、Email Downloads；按需增加移动介质和映射盘 |
| 动作 | 先 Alert & Notify，验证后改为 Quarantine |
| 结果等待 | 测试组启用并设置可接受超时 |
| 无结果拒绝 | 默认关闭；高安全组在完成高可用验证后启用 |
| 排除项 | 默认不配置，按最小范围审批 |
| 推广方式 | 测试组 → 一般办公组 → 高价值终端 |
常见问题与排错
| 现象 | 检查方向 |
|---|---|
| Test Connection 失败 | 检查地址解析、路由、防火墙策略、证书信任、FortiSandbox 服务状态和 EMS 是否已在 appliance 侧授权。使用 FQDN 时同时核对 EMS 的 DNS 结果和证书名称。 |
| 文件没有提交 | 检查组件安装、策略命中、Inspection Mode、文件扩展名和大小、来源选项、包含/排除规则。若其他反恶意软件已先隔离文件，FortiClient 无法再提交该文件。 |
| 用户长时间无法打开文件 | 检查 FortiSandbox 队列、分析节点容量、网络延迟和等待超时。必要时先关闭“无结果拒绝”或缩短提交范围。 |
| EMS 看不到摘要 | 确认配置了有效的 FortiSandbox 用户名和密码，账号具有查看报告的权限且未锁定；同时检查 EMS 到报告接口的网络和证书。 |
更新历史
| Ver | Description | Author | Rev | Date |
|---|---|---|---|---|
| 1.1 | add Chinese translation | ysheng | tanga | 2026.09.14 |
| 1.0 | Complete local FortiSandbox deployment, validation and troubleshooting | ysheng | tanga | 2026.08.31 |
| 0.1 | Draft Version | - | - | 2026.08.04 |