【機密情報マスク処理】スクリプト引数や設定ファイルのパスワードをログ出力時に自動伏字化するセキュア設計
レガシーシステムの自動化や、基幹系バッチ処理のオーケストレーションにおいて、VBScript（WSH）はいまだにインフラの隙間を埋める不可欠な接着剤として稼働し続けている。
しかし、ここで多くの開発者が陥る致命的なセキュリティアンチパターンがある。それが「ログへの平文シークレットの垂れ流し」だ。
デバッグの利便性を言い訳に、動的生成された接続文字列、APIトークン、あるいはコマンドライン引数をそのままファイルシステムや標準出力へ書き出す。結果として、ログパーサやSIEMのストレージに機密情報がプレーンテキストで蓄積されるという構造的欠陥を生んでいる。
本稿では、VBScriptのランタイム特性を突き詰め、パフォーマンスを犠牲にすることなく、ログ出力の瞬間に自動で機密情報をマスク（伏字化）するセキュアなロギングエンジンの実装設計を解説する。
—
1. VBScriptにおける「ログ漏洩」の構造的リスク
WSH環境で動作するスクリプトが露出させる機密情報の経路は、主に以下の3点に集約される。
1. `WScript.Arguments` のダンプ: 起動時に渡されたプレーンな引数文字列のログ記録。
2. 外部プロセス実行時のコマンドライン (`WScript.Shell.Run`): 引数に埋め込まれた認証情報のプロセス引数インスペクションによる漏洩。
3. 設定ファイル（INI / XML / JSONライクな独自テキスト）の読み込みバッファ: パスワードプロパティのメモリ上での永続化とトレース出力。
これらを個別に対処する場当たり的なコードは、保守性を著しく低下させる。必要なのは、「いかなるデータも、ログ出力のパイプラインを通る瞬間に強制的にサニタイズされる」という一元化されたインターセプト機構である。
—
2. 正規表現エンジン (`VBScript.RegExp`) のメモリ最適化とライフサイクル
VBScriptでパターンマッチングを行う場合、`VBScript.RegExp` オブジェクトをどのように扱うかがパフォーマンスの生死を分ける。ループ内で毎回 `CreateObject` を実行する愚行は、COMコンポーネントの生成コストとガベージコレクションのオーバーヘッドを増大させ、バッチ処理全体のスループットを致命的に低下させる。
セキュアロガー設計における鉄則は、正規表現インスタンスのグローバル（スクリプトスコープ）での静的保持と、グローバル検索（`Global = True`）の適切な適用である。
以下のコードは、高負荷なログ出力ストリームに対しても耐えうる、カプセル化されたマスク処理エンジンの実装例である。
—
3. 実装コード：セキュア・ログインターセプター
以下のVBScriptコードは、渡された文字列（または引数配列）から、あらかじめ定義された機密キーワードおよび正規表現パターンに一致するセグメントを動的に検出し、`MASKED` へ置換してファイルへ追記出力する堅牢なモジュールである。
‘ ==============================================================================
‘ 致命的な機密情報の流出を防ぐセキュア・ロギング・エンジン
‘ Architecture: Singleton-like Global Logger with RegExp Interception
‘ ==============================================================================
Option Explicit
‘ ログクラスの定義（VBScriptにおけるクラス構文によるカプセル化）
Class SecureLogger
Private m_LogFile
Private m_FSO
Private m_RegExp
Private m_MaskPatterns
‘ コンストラクタ相当の初期化処理
Private Sub Class_Initialize()
Dim fsoPath
Set m_FSO = CreateObject(“Scripting.FileSystemObject”)
‘ ログファイルのパス設定（実行スクリプトと同階層の “operation.log”）
m_LogFile = m_FSO.BuildPath(m_FSO.GetParentFolderName(WScript.ScriptFullName), “operation.log”)
‘ 正規表現エンジンの初期化（インスタンスの使い回しによるメモリ最適化）
Set m_RegExp = CreateObject(“VBScript.RegExp”)
m_RegExp.IgnoreCase = True ‘ 大文字小文字を区別しない
m_RegExp.Global = True ‘ マッチしたすべての箇所を置換
‘ マスク対象のパターン定義（正規表現配列）
‘ パスワード、APIキー、Bearerトークン、接続文字列内のPassword等を包括的にキャッチ
m_MaskPatterns = Array( _
“(password\s[:=]\s)([^\s&;]+)”, _
“(api[_-]?key\s[:=]\s)([^\s&;]+)”, _
“(bearer\s+)([a-zA-Z0-9\-\._~\+\/]+=)”, _
“(pwd\s[:=]\s)([^\s&;]+)”, _
“(secret\s[:=]\s)([^\s&;]+)” _
)
End Sub
‘ デストラクタ相当のクリーンアップ処理（メモリの確実な解放）
Private Sub Class_Terminate()
Set m_RegExp = Nothing
Set m_FSO = Nothing
End Sub
‘ 核心：機密情報の自動マスクアルゴリズム
Public Function MaskSensitiveData(ByVal rawText)
Dim i, pattern, evaluatedText
evaluatedText = rawText
‘ 定義されたすべてのマスクパターンを順次適用
For i = 0 To UBound(m_MaskPatterns)
m_RegExp.Pattern = m_MaskPatterns(i)
‘ 第1グループ（キー名等）は保持し、第2グループ（機密値）を “MASKED” に置換
evaluatedText = m_RegExp.Replace(evaluatedText, “$1MASKED“)
Next
MaskSensitiveData = evaluatedText
End Function
‘ ログ書き込みメソッド（標準出力 ＆ ファイル出力）
Public Sub WriteLog(ByVal level, ByVal message)
Dim stream, sanitizedMessage
‘ ログメッセージのサニタイズ実行
sanitizedMessage = MaskSensitiveData(message)
‘ タイムスタンプ付与フォーマット
sanitizedMessage = “[” & Now() & “] [” & UCase(level) & “] ” & sanitizedMessage
‘ 標準ストリームへの出力（WScript / CScriptの差異を吸収）
If LCase(Right(WScript.FullName, 11)) = “cscript.exe” Then
WScript.Echo sanitizedMessage
End If
‘ ファイルシステムへの安全な追記 (ForAppending = 8, Create = True = True)
On Error Resume Next
Set stream = m_FSO.OpenTextFile(m_LogFile, 8, True)
If Err.Number = 0 Then
stream.WriteLine sanitizedMessage
stream.Close
End If
Set stream = Nothing
On Error Goto 0
End Sub
End Class
‘ ==============================================================================
‘ 実行検証セクション（Usage Example）
‘ ==============================================================================
Dim logger
Set logger = New SecureLogger
‘ テストケース1: 通常のログ出力
logger.WriteLog “INFO”, “バッチ処理を開始します。”
‘ テストケース2: パスワードや機密情報を含む設定値のロギング（自動マスク検証）
logger.WriteLog “DEBUG”, “接続設定読み込み完了. User=admin, Password=SuperSecretP@ssw0rd! ConnectionString=Server=db01;Database=prod;Pwd=MyStr0ngPwd;”
‘ テストケース3: APIトークンやシークレットキーを含むログ
logger.WriteLog “WARN”, “外部API連携エラー. api_key=ak_live_9988776655443322 Authorization: Bearer eyJhbGciOiJIUzI1Ni…”
‘ テストケース4: スクリプト引数に機密情報が混入している場合のダンプ対策
Dim argString, argIndex
argString = “Arguments: ”
For argIndex = 0 To WScript.Arguments.Count – 1
argString = argString & WScript.Arguments(argIndex) & ” ”
Next
logger.WriteLog “INFO”, argString
Set logger = Nothing
WScript.Quit 0
—
4. コードのアーキテクチャ解説とシニア視点でのこだわり
1. クラスベースのカプセル化とオブジェクトのライフサイクル管理
VBScriptはガベージコレクションの挙動がブラックボックスであり、COMオブジェクトの参照解放を怠るとメモリリークを引き起こす。特に常駐型のバッチや長時間稼働するWSHプロセスでは致命的となる。`Class_Terminate` イベント内で `m_RegExp` や `m_FSO` などの内部参照を明示的に `Nothing` にクリアすることで、メモリフットプリントを最小限に抑えている。
2. 後方参照（Backreference）を活用したスマートな置換
正規表現のパターンにおいて `(password\s[:=]\s)([^\s&;]+)` のようにキャプチャグループを分割し、置換文字列として `$1MASKED` を指定している点に注目してほしい。これにより、「どの設定項目が伏字化されたか（キー名）」のコンテキストはログに残しつつ、肝心のバリュー（値）だけを安全に隠蔽するという、可観測性（Observability）とセキュリティの高度な両立を実現している。
3. CScript/WScript両対応の安全なI/O
環境によって `WScript.Echo` の挙動やダイアログ表示の有無が異なるため、現在実行中のホストプロセスを判定 (`CScript.exe` かどうか) し、GUI環境での意図しないポップアップ暴発を防ぎつつ、堅牢にファイルストリームへ書き込む設計としている。
—
5. まとめ：レガシー運用におけるセキュリティガバナンス
VBScriptのようなレガシー言語を使用せざるを得ないエンタープライズ環境であっても、「古い言語だからセキュリティが甘くて仕方ない」という言い訳は許されない。システム監査の網をくぐり抜けるためには、アプリケーション層の末端である「ログ出力」の瞬間に、強制的なサニタイズパイプラインを通すアーキテクチャが不可欠である。
本稿で提示した `SecureLogger` クラスを既存のスクリプト群の共通インクルード（またはWSCコンポーネント化）として組み込むことで、改修コストを最小限に抑えながら、ログ起因の機密情報漏洩リスクを完全に根絶することが可能となる。プロフェッショナルとして、コードの端々にまでセキュアな設計思想を宿らせてほしい。
