FortiSandbox examine les fichiers suspects par analyse statique et exécution dans un environnement isolé, pour repérer les malwares que les signatures ne voient pas.
FortiSandbox est la solution de bac à sable (sandbox) de Fortinet : elle analyse les fichiers et URL suspects en les examinant de manière statique puis, si nécessaire, en les exécutant dans un environnement isolé pour observer leur comportement. Le produit est actif en 2026, avec une branche 5.x qui renforce l'usage de l'intelligence artificielle. Son objectif est de détecter les menaces inconnues que les signatures antivirus ne reconnaissent pas encore.
Un antivirus reconnaît ce qu'il connaît déjà. Un logiciel malveillant nouveau, ou simplement modifié, peut passer entre les mailles. Le bac à sable adopte une autre logique : ouvrir le fichier dans une machine virtuelle contrôlée et observer ce qu'il fait. Crée-t-il des processus, modifie-t-il le registre, contacte-t-il un serveur externe, chiffre-t-il des fichiers ? Ces comportements permettent de rendre un verdict même en l'absence de signature.
Les attaquants le savent et conçoivent des malwares capables de détecter un environnement virtuel ou d'attendre avant d'agir. Une sandbox efficace doit donc combiner plusieurs techniques plutôt que de reposer uniquement sur l'exécution.
FortiSandbox enchaîne plusieurs niveaux d'analyse :
Les comportements observés sont rattachés au référentiel MITRE ATT&CK, ce qui donne à l'analyste un rapport lisible : quelles techniques le fichier a tenté d'employer et à quelle phase d'attaque elles correspondent. FortiSandbox propose aussi un mode dédié aux environnements OT, avec l'émulation de services industriels comme Modbus, BACnet ou S7comm.
FortiSandbox reçoit des échantillons par plusieurs canaux :
Les verdicts sont ensuite redistribués : un fichier reconnu malveillant peut être bloqué sur les autres équipements, et les indicateurs associés partagés.
Par défaut, la sandbox travaille souvent en parallèle : le fichier est transmis à l'utilisateur pendant l'analyse, et une alerte est levée si le verdict est défavorable. Depuis FortiSandbox 4.2 et FortiOS 7.2, une fonction de blocage en ligne permet au FortiGate de retenir le fichier le temps de l'analyse.
Ce mode améliore la protection mais impose des arbitrages. L'analyse statique rend généralement un verdict en quelques secondes, alors qu'une analyse dynamique peut prendre environ une minute pour un document bureautique et davantage pour un exécutable. La documentation recommande des modèles suffisamment puissants et précise qu'en cas de dépassement du délai, le comportement par défaut du FortiGate est de laisser passer le fichier ; il est possible de le configurer pour bloquer. Ce réglage doit être choisi en connaissance de cause, en accord avec les métiers.
FortiSandbox est disponible sous forme d'appliances matérielles de différentes capacités, de machines virtuelles installables sur site ou dans des clouds publics, et de services hébergés par Fortinet. Pour les petites structures, un service de sandbox cloud peut aussi être associé aux FortiGate via un abonnement. Le choix dépend du volume de fichiers à analyser, des contraintes de confidentialité (un fichier envoyé dans le cloud quitte votre infrastructure) et des systèmes invités nécessaires.
Exploiter une sandbox, c'est savoir lire un rapport d'analyse, comprendre les techniques d'évasion et relier un verdict à une réponse opérationnelle. Ces parcours sont utiles :
FortiSandbox complète l'antivirus en analysant ce que les signatures ignorent encore, grâce à l'analyse statique par IA et à l'exécution contrôlée. Sa valeur dépend des choix de déploiement, du réglage entre détection et blocage en ligne, et de la capacité des équipes à exploiter ses rapports.