Se eles são realmente não confiáveis, e você quer ter certeza, você configuraria uma caixa separada. Realmente ou virtualmente.
Além disso, você não quer que a caixa esteja na mesma rede que suas coisas importantes, se você for paranóico o suficiente. Em todas as soluções, você configuraria um usuário separado sem direitos, para não abrir muitas ferramentas para o possível comprometedor.
- Assim, a opção mais segura seria uma caixa separada removida fisicamente de sua rede.
- Você poderia ceder um pouco adicionando-o à rede física, mas em uma sub-rede diferente: nenhuma conexão 'real' dentro
- Uma máquina virtual seria uma opção, mas talvez tenha que desistir de algum desempenho
Se você está obrigado a executá-lo na mesma caixa, você tem, por exemplo, essa opção
- chroot. Esta é uma opção padrão para fazer isso para muitas pessoas e, para ameaças não específicas, pode até funcionar. Mas NÃO é uma opção de segurança e pode ser desmembrada facilmente. Eu sugiro usar isso como pretendido, ou seja, não por segurança.
No final, você pode precisar configurar um modelo específico de sandboxing sem o incômodo da virtualização ou caixas separadas, ou a situação ainda em risco do chroot. Eu duvido que isso é o que você quis dizer, mas olhe este link para mais algumas informações detalhadas: