Il rilevamento dell'ambiente è il processo con cui si controllano le caratteristiche di un computer per dedurre se un programma è in esecuzione in un ambiente utente reale o in un laboratorio di analisi, come una sandbox per malware. Un programma può esaminare le impostazioni del sistema, i dettagli hardware, i processi in esecuzione oppure gli indizi della presenza di virtualizzazione e strumenti di debug.
Negli attacchi, il malware può usare questi controlli per ritardare o nascondere il comportamento malevolo quando rileva una sandbox, rendendo l'analisi meno affidabile. I difensori possono variare le configurazioni della sandbox e confrontare i risultati di esecuzioni ripetute, correlando inoltre i riscontri con i dati di telemetria degli endpoint e della rete. Il rilevamento dell'ambiente non è conclusivo: un'esecuzione pulita in una sandbox non dimostra che un file sia innocuo.