Norman SandBox nutzt Module des Virenprüfprogramms, des Emulators und des virtuellen Speichermanagers.

Die Softwarekomponenten von Norman SandBox befinden sich in einer der Virusdefinitionsdateien (NVCBIN.DEF). Die SandBox-Module belegen in komprimierter Form weniger als 160 KB. Pro Prüf-Thread werden etwa 4 MB Arbeitsspeicher benötigt. Da die Ausführung in einer emulierten Umgebung stattfindet, ist Geschwindigkeit von großer Bedeutung. Auf einem 700-MHz-PIII-System werden über eine Million Anweisungen pro Sekunde emuliert. Auf einem 2-GHz-P4-System werden über drei Millionen Anweisungen pro Sekunde emuliert. Wir haben Norman SandBox optimiert, um die Anzahl der Emulationszyklen, insbesondere bei sauberen Dateien, zu reduzieren, und werden unsere Anstrengungen in dieser Richtung fortsetzen.

Zu Beginn der Entwicklungsphase durchgeführte Tests haben gezeigt, dass die Verwendung von Norman SandBox für alle ausführbaren Dateien auf einer regulären Festplatte die Prüfzeit um etwa 40 % erhöht. Verglichen mit dem von Norman SandBox erledigten Arbeitspensum und dem Vorteil der Erkennung unbekannter Würmer und Viren, halten wir Geschwindigkeit nicht für ein Problem.