Docker沙箱专业版

企业级Docker安全沙箱平台，支持多实例管理、状态快照、自定义安全策略、完整审计追踪及自动恶意行为检测。

Install

openclaw skills install @thcjp/docker-sandbox-tool-pro

功能说明: 本技能涵盖中文交互、化工作流场景等核心能力。

Docker沙箱专业版（PRO版）

概述

本平台为企业安全团队提供全功能的安全沙箱能力。相比免费版，PRO版新增多沙箱管理、状态快照、自定义安全策略、审计追踪和恶意行为检测等高级功能，全面满足企业安全测试与分析的复杂需求. PRO版完全兼容免费版沙箱命令与配置，升级后原有沙箱环境可直接使用.

核心能力

PRO版功能增强对比

功能	免费版	PRO版
沙箱数量	单实例	多实例并行
快照管理	不支持	创建/恢复/删除
安全策略	基础限制	Seccomp/AppArmor/SELinux
审计追踪	基础日志	完整行为记录
恶意检测	不支持	自动行为分析
网络分析	不支持	流量捕获与分析
批量处理	不支持	自动化样本分析
模板系统	不支持	预置安全模板

处理: 解析PRO版功能增强对比的输入参数,完成核心逻辑,返回结构化响应. 输出: 返回PRO版功能增强对比的响应数据,包含状态码、结果和日志.

核心功能执行

用input_params参数进行配置.

处理: 解析核心功能执行的输入参数,完成核心逻辑,返回结构化响应. 输出: 返回核心功能执行的响应数据,包含状态码、结果和日志.

执行此能力时使用input_params参数,支持创建/查询/导出操作

参数配置与调用

用config_options参数进行配置.

处理: 解析参数配置与调用的输入参数,完成核心逻辑,返回结构化响应. 输出: 返回参数配置与调用的响应数据,包含状态码、结果和日志.

执行此能力时使用config_options参数,支持修改/重置/导入操作 能力覆盖范围：本skill的核心能力覆盖以下场景关键词：企业级安全沙箱平、支持多沙箱管理、高级安全策略与审、面向企业安全团队、的高级沙箱平台、支持多沙箱实例管、状态快照、自定义安全策略、完整审计追踪与恶、意行为检测、Use、when、需要安全检测、合规审计、质量检查、加密防护时使用、不适用于安全评估、未授权目标、适用于独立开发者、企业团队和自动化、工作流场景等。这些关键词对应description中声明的使用场景,均已在上述能力点中提供对应的操作支持.

使用场景

场景一：恶意软件分析

用户输入："分析这个可疑文件的行为"

bash

# 恶意样本分析
python3 （请参考skill目录中的脚本文件） analyze \
  --sample ./suspicious.exe \
  --template "malicious program_analysis" \
  --network monitored \
  --capture-traffic \
  --timeout 300 \
  --output analysis_report.pdf
# ...
# 输出包含：
# - 行为时间线
# - 文件系统变更
# - 网络连接记录
# - 注册表修改（Windows）
# - 进程创建树
# - 恶意行为评分

场景二：批量样本处理

用户输入："批量分析这100个可疑文件"

bash

# 批量样本分析
python3 （请参考skill目录中的脚本文件） batch-analyze \
  --input-dir ./samples/ \
  --parallel 5 \
  --template "malicious program_analysis" \
  --output-dir ./reports/ \
  --format pdf
# ...
# 输出汇总报告
python3 （请参考skill目录中的脚本文件） summary \
  --reports-dir ./reports/ \
  --output batch_summary.xlsx

场景三：安全策略定制

用户输入："创建一个严格隔离的沙箱策略"

bash

# 创建自定义安全策略
python3 （请参考skill目录中的脚本文件） policy create \
  --name "strict_isolation" \
  --seccomp ./seccomp-profile.json \
  --apparmor ./apparmor-profile \
  --capabilities "drop_all" \
  --network "none" \
  --filesystem "read_only" \
  --syscalls "filter"
# ...
# 应用策略
python3 （请参考skill目录中的脚本文件） run \
  --image ubuntu:22.04 \
  --policy "strict_isolation" \
  --script （请参考skill目录中的脚本文件）

快速开始

阅读## 核心能力章节了解skill功能
按## 依赖说明配置环境
执行所需能力对应的命令
参考## 错误处理章节处理异常
查看## FAQ解答常见疑问

PRO版初始化

bash

# 依赖说明
pip install -r requirements_pro.txt
# ...
# 加载安全模板
python3 （请参考skill目录中的脚本文件） init --load-templates

常用命令

bash

# 恶意分析
python3 （请参考skill目录中的脚本文件） analyze --sample ./suspicious.exe --template "malicious program_analysis"
# ...
# 批量分析
python3 （请参考skill目录中的脚本文件） batch-analyze --input-dir ./samples/ --parallel 5
# ...
# 快照管理
python3 （请参考skill目录中的脚本文件） snapshot create --name sandbox1 --label "before_test"
python3 （请参考skill目录中的脚本文件） snapshot restore --name sandbox1 --label "before_test"
# ...
# 安全策略
python3 （请参考skill目录中的脚本文件） policy create --name "strict" --seccomp ./profile.json
python3 （请参考skill目录中的脚本文件） policy list
# ...
# 审计日志
python3 （请参考skill目录中的脚本文件） audit --name sandbox1 --time-range "1h"
python3 （请参考skill目录中的脚本文件） audit export --format pdf --output audit_report.pdf
# ...
# 网络分析
python3 （请参考skill目录中的脚本文件） capture --name sandbox1 --duration 60 --output capture.pcap

示例

PRO企业级配置

yaml

pro_config:
  sandboxes:
    max_parallel: 10              # 最大并行沙箱数
    default_template: "basic_isolation"
    auto_cleanup: true
    cleanup_after: 3600           # 1小时后自动清理
# ...
  templates:
    - name: "malicious program_analysis"
      network: "monitored"        # 监控网络
      capture_traffic: true
      filesystem: "copy_on_write"
      timeout: 300
    - name: "strict_isolation"
      network: "none"
      filesystem: "read_only"
      timeout: 60
    - name: "network_test"
      network: "restricted"
      allowed_hosts: ["example.com"]
      timeout: 120
# ...
  security:
    seccomp: true                 # 系统调用过滤
    apparmor: true                # AppArmor配置
    selinux: false                # SELinux（需Linux支持）
    no_new_privileges: true
    cap_drop: ["ALL"]
# ...
  audit:
    enabled: true
    log_all_syscalls: true
    log_file_access: true
    log_network: true
    log_process: true
    storage: "数据库"
    retention_days: 90
# ...
  detection:
    malicious program_detection: true
    behavior_analysis: true
    ioc_matching: true            # 威胁指标匹配
    threat_intelligence: true     # 情报分析集成
# ...
  batch:
    max_parallel: 5
    timeout: 600
    output_formats: ["pdf", "json", "stix"]

优选实践

PRO版企业实践

实践领域	建议做法
恶意分析	使用监控网络模式，捕获全部网络行为
批量处理	并行数不超过CPU核心数，避免资源争抢
安全策略	根据风险等级选择模板，高危用strict
审计追踪	所有操作记录审计日志，便于追溯
快照管理	关键操作前创建快照，便于回滚

免费版兼容性

text

免费版命令 → PRO版命令（增强）：
sandbox.py run (单实例)      → sandbox_pro.py analyze (完整分析)
sandbox.py create            → +快照+模板+安全策略
基础隔离                     → +Seccomp/AppArmor+审计+检测

常见问题

Q1：恶意行为检测基于什么？

PRO版基于行为分析引擎，监控系统调用、文件操作、网络连接等行为模式，与已知恶意行为特征库匹配。同时集成情报分析，识别已知恶意指标（IOC）.

Q2：快照如何工作？

快照使用容器文件系统的写时复制（COW）机制，保存某一时刻的完整状态。恢复快照可将沙箱回滚到该状态，便于重复测试.

Q3：支持Windows样本分析吗？

支持。通过Windows容器或QEMU虚拟化运行Windows样本。需要Windows系统或预配置的Windows容器镜像.

Q4：网络流量捕获什么格式？

捕获为PCAP格式，可使用Wireshark等工具分析。同时自动解析HTTP/DNS/TLS等协议，生成可读的行为报告.

Q5：审计日志保存多久？

PRO版默认保存90天审计日志。日志存储在数据库中，支持按时间、沙箱名、行为类型查询和导出.

依赖说明

运行环境

Agent平台: 支持SKILL.md的任意AI Agent（Claude Code / Cursor / Codex / Gemini CLI等）
操作系统: Linux（推荐Ubuntu 22.04+，完整安全特性支持）
Python版本: 3.9+
Docker: 20.0+

第三方依赖

依赖项	类型	是否必需	获取方式
LLM API	API	必需	由Agent内置LLM提供
Python	运行时	必需	系统安装或conda环境
docker	Python库	必需	`pip install docker`
psycopg2	Python库	可选	`pip install psycopg2-binary`（审计存储）
tcpdump	CLI工具	可选	系统安装（网络捕获）
suricata	CLI工具	可选	系统安装（异常检测）

API Key 配置

服务	环境变量	是否必需	用途
情报分析	`TI_API_KEY`	可选	IOC查询
VirusTotal	`VT_API_KEY`	可选	样本查询

未配置的服务自动跳过
所有凭证存储在本地配置文件

可用性分类

分类: MD+EXEC（Markdown指令+Python脚本+Docker+安全工具执行）
说明: 企业级安全沙箱平台，支持恶意分析与审计追踪
PRO版特性: 多沙箱、快照、安全策略、审计、恶意检测、批量分析
兼容性: 完全兼容免费版沙箱命令与配置
安全声明: 沙箱提供强隔离，但仍建议在专用物理机上运行高危样本

错误处理

错误场景	原因	处理方式
配置错误	参数缺失或格式错误	检查依赖说明中的配置要求
运行时错误	运行环境不满足	确认运行环境符合依赖说明
网络错误	连接超时或不可达	执行ping命令测试网络连通性,检查防火墙和代理设置连接后执行ping命令测试网络连通性,检查防火墙和代理设置连接后重新执行命令，参考国内替代方案

已知限制

需LLM支持,无LLM环境不可用
复杂业务场景建议结合人工经验判断
执行效率受模型能力与网络环境影响

安全注意事项

风险类型	防范措施
API密钥泄露	通过环境变量配置，禁止硬编码到代码或配置文件中
命令执行风险	仅执行白名单命令，避免拼接用户输入到命令行参数中
网络通信安全	使用HTTPS协议，验证SSL证书有效性
敏感数据暴露	输出结果中不包含密钥、令牌等敏感信息

使用前请确认已阅读依赖说明章节，确保运行环境满足安全要求。

核心功能

自动化执行: 企业级安全沙箱平台，支持多沙箱管理、快照、高级安全策略与审计追踪.。面向企业安全团队的高级沙箱平台。支持多沙箱实例管理、
文件处理: 支持多种文件格式的读取、解析和写入操作
API集成: 通过标准化接口调用外部服务并处理响应
命令执行: 在安全沙箱中执行系统命令并收集结果
信息检索: 快速搜索和过滤目标数据

核心功能

自动化执行: 企业级安全沙箱平台，支持多沙箱管理、快照、高级安全策略与审计追踪.。面向企业安全团队的高级沙箱平台。支持多沙箱实例管理、
文件处理: 支持多种文件格式的读取、解析和写入操作
API集成: 通过标准化接口调用外部服务并处理响应
命令执行: 在安全沙箱中执行系统命令并收集结果
信息检索: 快速搜索和过滤目标数据

Docker沙箱专业版

Install

Docker沙箱专业版（PRO版）

概述

核心能力

PRO版功能增强对比

核心功能执行

参数配置与调用

使用场景

场景一：恶意软件分析

场景二：批量样本处理

场景三：安全策略定制

快速开始

PRO版初始化

常用命令

示例

PRO企业级配置

优选实践

PRO版企业实践

免费版兼容性

常见问题

Q1：恶意行为检测基于什么？

Q2：快照如何工作？

Q3：支持Windows样本分析吗？

Q4：网络流量捕获什么格式？

Q5：审计日志保存多久？

依赖说明

运行环境

第三方依赖

API Key 配置

可用性分类

错误处理

已知限制

安全注意事项

核心功能

核心功能

Related skills