【テクニカル・上級編】【上級プロフェッショナル向け】FSOとWMI（Win32_Volume）連携によるBitLocker暗号化ドライブの状態判定と自動処理 – VBScript (Visual Basic Scripting Edition)解析バイブル

VBScript (Visual Basic Scripting Edition)

2026.11.02

セキュリティ・ファーストの自動化：WMIによるBitLocker状態検証とFSOを統合した堅牢なファイル操作アーキテクチャ

セキュリティ・ファーストの自動化：WMIによるBitLocker状態検証とFSOを統合した堅牢なファイル操作アーキテクチャ

自動化エンジニアが陥る最も致命的な罠は、「処理の成功」のみに目を向け、「環境の安全性」を軽視することだ。

大量の機密データを扱うエンタープライズ環境において、単に「ファイルがコピーできたか」を確認するスクリプトは、未熟者の仕事である。真にプロフェッショナルが構築すべきは、「そのファイルが置かれる器（ドライブ）が、組織のセキュリティポリシーに従って暗号化されているか」を事前に検証し、条件を満たさない場合には即座に処理を中断する、自己防御型のロジックである。

本稿では、WMI（Windows Management Instrumentation）を用いてBitLockerの暗号化状態を検出し、その結果に基づきFSO（FileSystemObject）で機密ファイルを操作する、極限まで堅牢性を高めた実装パターンを解説する。

1. WMIによる環境検知：Win32_EncryptableVolumeの真価

FSOはファイル操作のスペシャリストだが、システム全体のセキュリティ状態を知る術を持っていない。そこで我々は、Windowsの管理基盤であるWMIを呼び出す必要がある。

BitLockerの状態を判定する場合、`Win32_Volume` よりも、より詳細な暗号化情報を保持する `Root\Microsoft\Windows\BitLocker` 名前空間の `Win32_EncryptableVolume` クラスを直接叩くのが、アーキテクトとしての定石だ。

判定ロジックの要諦

単に「暗号化されているか」だけでなく、以下の状態を峻別しなければならない。

FullyEncrypted: 完全暗号化状態。
ProtectionOff: 暗号化はされているが、保護が中断されている（鍵がメモリ上にない、あるいは未認証）。
Decrypted: 未暗号化。

この状態を正確に把握せず、単に「ドライブが存在するか」だけでファイル操作を開始することは、セキュリティホールを自ら作り出す行為に等しい。

2. 実装コード：プロフェッショナル・グレードの自動化スクリプト

以下に、実戦投入可能なコード構造を示す。単なるサンプルではない。オブジェクトの解放、エラーハンドリング、そしてWMIとFSOの分離設計を徹底している。

'**
' Script: SecureFileTransfer.vbs
' Description: WMIでBitLocker状態を確認後、安全な場合にのみFSOでファイルを操作する
' Author: Legendary Chief Architect
'**

Option Explicit

' 定数定義：マジックナンバーを排除し、可読性と保守性を担保する
Const WMI_NAMESPACE = "root\Microsoft\Windows\BitLocker"
Const STATUS_PROTECTED = 1 ' 保護されている状態（論理値として扱う）

Dim strTargetDrive, strSourceFile, strDestFolder
strTargetDrive = "C:"  ' 検証対象のドライブ
strSourceFile  = "C:\Confidential\data.xlsx"
strDestFolder  = "C:\SecureBackup\"

' メイン実行ルーチン
Call Main()

Sub Main()
    On Error Resume Next ' エラーハンドリングの開始

    Dim isProtected
    ' 1. BitLockerの状態を検証
    isProtected = CheckBitLockerStatus(strTargetDrive)

    If Err.Number <> 0 Then
        WScript.Echo "Critical Error during WMI Query: " & Err.Description
        WScript.Quit 1
    End If

    If Not isProtected Then
        ' セキュリティ要件を満たさない場合は即座に終了
        WScript.Echo "Security Violation: Drive " & strTargetDrive & " is not BitLocker protected."
        WScript.Quit 2
    End If

    WScript.Echo "Security Verified: Proceeding with file operation..."

    ' 2. 安全が確認されたため、FSOによる操作を実行
    Call SecureFileOperation(strSourceFile, strDestFolder)

    If Err.Number <> 0 Then
        WScript.Echo "Operation Failed: " & Err.Description
        WScript.Quit 3
    End If

    WScript.Echo "Operation Completed Successfully."
    On Error GoTo 0
End Sub

'------------------------------------------------------------------------------
' Function: CheckBitLockerStatus
' Purpose: WMIを使用して指定ドライブのBitLocker保護状態を判定する
'------------------------------------------------------------------------------
Function CheckBitLockerStatus(strDriveLetter)
    Dim objWMIService, colVolumes, objVolume
    Dim bIsProtected
    
    bIsProtected = False
    
    ' WMIサービスの取得（名前空間に注意）
    Set objWMIService = GetObject("winmgmts:{impersonationLevel=impersonate}!\\.\ " & WMI_NAMESPACE)
    
    If Err.Number <> 0 Then
        Err.Clear
        CheckBitLockerStatus = False
        Exit Function
    End If

    ' Win32_EncryptableVolume クラスをクエリ
    ' DriveLetter プロパティで対象を絞り込む
    Set colVolumes = objWMIService.ExecQuery _
        ("Select * from Win32_EncryptableVolume Where DriveLetter = '" & strDriveLetter & "'")

    For Each objVolume In colVolumes
        ' ProtectionStatus が 1 (On) であることを確認
        ' 0: Off, 1: On
        If objVolume.ProtectionStatus = 1 Then
            bIsProtected = True
        End If
    Next

    ' 【重要】オブジェクトの明示的解放（メモリリークとハンドルロックの防止）
    Set colVolumes = Nothing
    Set objWMIService = Nothing
    
    CheckBitLockerStatus = bIsProtected
End Function

'------------------------------------------------------------------------------
' Sub: SecureFileOperation
' Purpose: FSOを用いて機密ファイルを安全に移動・コピーする
'------------------------------------------------------------------------------
Sub SecureFileOperation(strSrc, strDest)
    Dim objFSO, objFile
    
    Set objFSO = CreateObject("Scripting.FileSystemObject")
    
    ' 送信元ファイルの存在確認
    If Not objFSO.FileExists(strSrc) Then
        Err.Raise 1, "SecureFileOperation", "Source file not found: " & strSrc
    End If

    ' コピー先ディレクトリの存在確認と作成
    If Not objFSO.FolderExists(strDest) Then
        objFSO.CreateFolder(strDest)
    End If

    ' ファイルのコピー（上書き許可）
    ' 大容量ファイルを扱う場合は、I/O負荷を考慮した設計が必要だが、ここでは基本に忠実に
    objFSO.CopyFile strSrc, strDest, True

    ' オブジェクトの解放
    Set objFSO = Nothing
End Sub

3. アーキテクトの視点：なぜこの設計が「極限」なのか

オブジェクトのライフサイクル管理

VBScriptはCOM（Component Object Model）に基づいている。`Set obj = Nothing` を怠ることは、メモリ上に「幽霊」を残し続けることに等しい。特にWMIのような重いオブジェクトを使用する場合、明示的な解放を行わないと、スクリプト終了後もプロセスがリソースを掴み続け、次回の自動実行やシステム全体のパフォーマンスに悪影響を及ぼす可能性がある。

エラーハンドリングの階層化

`On Error Resume Next` は、諸刃の剣だ。我々はこれを「エラーを無視するため」ではなく、「エラーを捕捉し、適切なコンテキスト（どのフェーズで失敗したか）を持って終了するため」に使用している。

WMIクエリの失敗（権限不足、名前空間の不在）
セキュリティ条件の不一致（BitLocker未適用）
FSOの操作失敗（ディスクフル、ファイルロック）

これらを明確に区別し、終了コード（`WScript.Quit`）を使い分けることで、呼び出し元の運用管理ツール（Task Schedulerや監視ソフト）が、異常の性質を即座に判別できるようにしている。

パフォーマンスの重み

WMIのクエリは、標準的なファイル操作に比べて極めてコストが高い。ループの中で `CheckBitLockerStatus` を呼び出すような愚行は絶対に避けるべきだ。環境の検証は、セッションの開始時に一度だけ、あるいはドライブ構成が変更されたタイミングでのみ実行するのが、計算資源を最適化するプロの作法である。

結論

VBScriptはレガシーな技術と見なされることもある。しかし、その本質はWindows OSの深淵にアクセスするための強力なインターフェースである。WMIによるシステム状態の把握と、FSOによる精密な操作。この二つを、オブジェクトのライフサイクルを意識しながら高度に連携させること。それこそが、単なる「スクリプト作成者」と「システムアーキテクト」を分かつ境界線である。