L'isolamento a livello di sistema operativo è l'insieme dei controlli del sistema operativo che mantengono separati tra loro processi, file, dispositivi e ambienti di esecuzione. Può essere implementato con autorizzazioni utente, namespace, contenitori, macchine virtuali, sandbox delle applicazioni e funzionalità della piattaforma come l'accesso limitato ai file o i percorsi di rete bloccati. L'obiettivo è consentire al codice di essere eseguito riducendo però ciò che può raggiungere se si comporta in modo anomalo.
Nella sicurezza informatica, l'isolamento a livello di sistema operativo è una difesa fondamentale contro le fughe dalla sandbox e il movimento laterale. Se un attaccante esce da un ambiente di esecuzione ristretto, la barriera successiva dovrebbe essere il confine del sistema operativo host, non solo le regole dell'applicazione. Un isolamento solido può limitare il furto di credenziali, la manomissione dei file e l'esecuzione di comandi sulla macchina locale. I difensori lo usano per contenere codice non attendibile, agenti di IA, plugin e malware; gli attaccanti cercano di aggirarlo per trasformare un punto d'appoggio limitato in accesso completo al sistema.