応用情報技術者試験では、サンドボックスが「未知のマルウェア」や「標的型攻撃」に対する有効な対策技術としてよく出題されます。選択肢では、「不審なプログラムを、他の通信やシステムから隔離された保護された仮想領域で実行し、その挙動を観察・分析する手法」といった説明を正しく選べるようにしてください。また、シグネチャ型（定義ファイル型）ウイルス対策ソフトとの違いもよく問われます。シグネチャ型が「既知のマルウェアのパターン（ハッシュ値や特徴的なコード）」と照合するのに対し、サンドボックスは「実際の動的な振る舞い（レジストリ変更、特定のポートへの外部接続など）」を監視するため、出現したばかりの未知の脅威を検知できるというメリットがポイントになります。加えて、先述した「マルウェアによるサンドボックス回避動作」についての知識（試験では、検出を避けるために実行を遅延させる動作などが問われることがあります）も押さえておくと万全です。

既存のパターンと照合するシグネチャ検知（パターンマッチング法）、プログラムの挙動から不正を判断する振る舞い検知（動的解析）、およびセキュリティパッチが提供される前の脆弱性を狙うゼロデイ攻撃があります。これらとサンドボックスの動作を紐付けることで、マルウェア防御技術への理解が深まります。