Un confine di montaggio è la linea di accesso tra un ambiente guest e le cartelle che gli è consentito vedere dall'host. In pratica, viene creato montando solo le directory selezionate in una macchina virtuale, un container o una sandbox, mentre tutto il resto rimane nascosto. Se il confine viene applicato correttamente, il guest può lavorare con i file approvati senza ottenere un accesso ampio al filesystem dell'host.
Questo è importante perché molti attacchi cercano di oltrepassare quella linea. Una politica di montaggio debole, una cattiva convalida dei percorsi o una gestione confusa di symlink e percorsi relativi possono consentire a un processo confinato di leggere o scrivere dati al di fuori dell'area prevista. I difensori riducono il rischio usando il principio del privilegio minimo, montaggi ristretti, accesso in sola lettura dove possibile e controlli rigorosi sui percorsi dei file e sulle operazioni sui file. Nei secure desktop agents e in altri strumenti sandboxed, il confine di montaggio è un controllo fondamentale, non solo un dettaglio di implementazione.