レガシーの深淵を制御せよ：WMIによるレジストリ改変リアルタイム検知と自動復旧の極意
VBScriptを「古い技術」と断じるのは容易い。だが、OSの深層に直接触れ、外部依存を極限まで排除した軽量な常駐プロセスを構築する際、WSH（Windows Script Host）ほど信頼できる相棒は他にない。
今回は、システム管理の最終防衛線である「レジストリ改変のリアルタイム監視と自動復旧」をテーマに、WMIのイベント・サブスクリプションを用いたプロフェッショナルな実装技術を解剖する。
—
なぜ「ポーリング」ではいけないのか
レジストリ監視において、一定間隔で値を読みに行く「ポーリング手法」は愚策だ。リソースを浪費するだけでなく、変更の検知と復旧の間に「攻撃の窓」が開く。
我々が求めるのは、OSのイベント通知機能である `RegistryTreeChangeEvent` を利用した「イベント駆動型」のアーキテクチャだ。これにより、OSがレジストリを書き換えた瞬間にトリガーを引き、CPU負荷を最小限に抑えつつ、マイクロ秒単位での検知が可能となる。
—
実装のアーキテクチャ
以下のスクリプトは、指定されたレジストリキーへの書き込みを検知し、即座に「正当な値」へ書き戻す。
‘ — RegistryGuard.vbs —
‘ WMIによる非同期イベント監視エンジン
Option Explicit
Dim objWMIService, colEvents, objEvent
Dim strComputer, strNamespace, strQuery
Dim strKeyPath, strFullKeyPath
strComputer = “.”
strNamespace = “root\default”
‘ 監視対象: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\System
‘ ※バックスラッシュはWMIクエリ用にエスケープが必要
strKeyPath = “SOFTWARE\\Policies\\Microsoft\\Windows\\System”
strFullKeyPath = “HKEY_LOCAL_MACHINE\\” & strKeyPath
‘ イベントクエリの構築
strQuery = “SELECT FROM RegistryTreeChangeEvent WHERE Hive=’HKEY_LOCAL_MACHINE’ ” & _
“AND RootPath='” & strKeyPath & “‘”
Set objWMIService = GetObject(“winmgmts:{impersonationLevel=impersonate}!\\” & strComputer & “\” & strNamespace)
Set colEvents = objWMIService.ExecNotificationQuery(strQuery)
WScript.Echo “監視開始: ” & strFullKeyPath
Do
‘ イベント発生までスレッドをブロック（CPU負荷はゼロに近い）
Set objEvent = colEvents.NextEvent
‘ ここで復旧ロジックを起動
Call RestoreRegistryValue()
‘ メモリリークを避けるための厳格な解放
Set objEvent = Nothing
Loop
Sub RestoreRegistryValue()
Dim objShell
Set objShell = CreateObject(“WScript.Shell”)
‘ 本来あるべき設定値へ強制的に書き戻す
‘ エラーハンドリングは必須。権限不足等の例外を想定せよ
On Error Resume Next
objShell.RegWrite “HKLM\SOFTWARE\Policies\Microsoft\Windows\System\DisableRegistryTools”, 0, “REG_DWORD”
If Err.Number <> 0 Then
‘ ログ出力等の処理をここに実装
End If
On Error GoTo 0
Set objShell = Nothing
End Sub
—
シニアエンジニアが意識すべき「極限の最適化」ポイント
1. メモリ管理とCOMオブジェクトのライフサイクル
VBScriptのガベージコレクションを信用してはならない。特に常駐プロセスでは、`Set obj = Nothing` の明示的な呼び出しが必須だ。ループ内で生成されるオブジェクトは必ず解放せよ。さもなくば、数週間の運用でメモリリークがシステムを圧迫する。
2. インパーソネーションレベルの制御
`winmgmts:{impersonationLevel=impersonate}` の指定は、システム管理ツールにおいて極めて重要だ。リモート監視を行う場合、このレベルが適切でないと、WMIクエリが拒否される。セキュリティ権限の「最小権限の原則」に従い、必要最小限の権限で実行環境を構築せよ。
3. レジストリの「再帰的変更」への対策
`RegistryTreeChangeEvent` は指定したキー以下の変更を全て拾う。もし監視対象が頻繁に更新されるキーであれば、無限ループに陥るリスクがある。復旧ロジック内には必ず「書き戻し後の変更は無視する」といったガード節、あるいは単純な実行回数制限を設けるのが、堅牢なシステム構築の定石だ。
4. ログ出力の設計
`WScript.Echo` はGUI環境ではメッセージボックス化し、サービス実行時には出力先がブラックホールになる。実運用では `Scripting.FileSystemObject` を使い、排他制御を考慮したログファイルへの書き出しを実装すること。
—
結びに：レガシーの知見を未来へ
VBScriptは、モダンな言語が隠蔽してしまった「OSの素顔」をありのままに扱える稀有な言語である。レジストリの監視一つとっても、その裏で何が起きているのかを理解しているエンジニアと、ライブラリの呼び出し方しか知らないエンジニアの間には、埋めがたい深い溝がある。
このコードは、あなたのインフラ管理における強力な武器となるはずだ。ただし、武器は使う者の知性によって価値が決まる。OSの挙動を深く理解し、常に「想定外」に備えること。それが、真の自動化エンジニアの流儀である。
