La protezione sandbox è un isolamento che limita ciò a cui un programma, una scheda del browser, un plug-in o un componente incorporato può accedere se viene attivato o compromesso. Una sandbox di solito limita l'accesso al file system, l'accesso alla rete, l'interazione tra processi e i privilegi del sistema operativo, in modo che una vulnerabilità non si trasformi in un compromesso completo del sistema. È una difesa fondamentale nei browser moderni e in altre app che eseguono contenuti non attendibili.
Nelle attacchi reali, le sandbox sono importanti perché le catene di exploit spesso cercano di uscirne o di aggirarle del tutto. Se il sandboxing è disabilitato, obsoleto o indebolito da integrazioni personalizzate, i contenuti dannosi possono causare molti più danni dopo l'esecuzione del codice. I difensori usano il sandboxing per contenere i download drive-by, gli exploit nei documenti e i payload basati sul browser, e cercano segnali che un prodotto stia eseguendo un motore legacy o stia avviando contenuti con un livello di fiducia eccessivo. Una protezione sandbox forte trasforma un exploit riuscito in un incidente molto più limitato.