VBScriptを掌握する極限の知見：WMIイベント駆動によるリアルタイム・ログ監視の設計思想
レガシー環境の保守や、Windowsインフラの自動化において、VBScriptは未だに「死なない言語」として君臨している。現代の軽量言語が持つライブラリの肥大化を嫌い、OSのネイティブ機能のみで完結する堅牢な監視システムを構築したいと願うのであれば、WMI（Windows Management Instrumentation）のイベントクエリに習熟することは不可欠なスキルだ。
今回は、世間によくある「ポーリング（定期ループ）」による監視ではなく、OSのカーネルに近いレベルでイベントを捕捉する「非同期通知型（ExecNotificationQuery）」を用いた、真に効率的な監視モジュールの設計について解説する。
1. なぜ「ExecNotificationQuery」なのか
多くの初学者は、`Get-EventLog`をループで回すような負荷の高い監視手法を選択する。しかし、システムリソースを浪費し、ディスクI/Oを圧迫するそのようなスクリプトは、エンタープライズ環境では「悪」である。
WMIの `ExecNotificationQuery` は、WMIサブシステムがイベントをフックし、条件に合致した瞬間にイベントを通知する「プッシュ型」のメカニズムだ。これを使うことで、監視スクリプトはOSからイベントが発火されるまで「待機（Wait）」状態を維持できる。CPU負荷は限りなくゼロに近い。
2. リアルタイム監視の実装：コードの真髄
以下に、イベントログをリアルタイムで監視し、特定のイベントIDを検知した瞬間に通知する堅牢なモジュールを示す。
‘ — WMIイベント監視モジュール —
‘ ターゲット：失敗ログオン (EventID: 4625)
Option Explicit
Dim objWMIService, colEvents, objEvent
Dim strQuery
‘ WMIサービスへの接続（Root\CIMV2）
Set objWMIService = GetObject(“winmgmts:{impersonationLevel=impersonate,(Security)}!\\.\root\cimv2”)
‘ イベントクエリの構築
‘ Win32_NTLogEventのインスタンス生成を監視することでリアルタイム性を確保
strQuery = “SELECT FROM __InstanceCreationEvent WITHIN 5 ” & _
“WHERE TargetInstance ISA ‘Win32_NTLogEvent’ ” & _
“AND TargetInstance.EventCode = ‘4625’”
‘ イベントの監視開始
Set colEvents = objWMIService.ExecNotificationQuery(strQuery)
WScript.Echo “監視を開始しました… [Ctrl+C で終了]”
‘ メインループ：イベント発生まで待機し続ける
Do
‘ NextEventメソッドでイベントを同期的に取得（ブロッキング）
‘ ここでスクリプトは待機状態となり、CPU負荷をほぼ消費しない
Set objEvent = colEvents.NextEvent
‘ 検知後の処理（アラート発信など）
Call SendAlert(objEvent.TargetInstance)
Loop
‘ 終了処理（明示的なオブジェクト解放はVBScriptの美徳）
Set colEvents = Nothing
Set objWMIService = Nothing
Sub SendAlert(objLog)
‘ ログの中身をコンソールへ出力（必要に応じてSMTPやAPIへ連携）
WScript.Echo “[” & Now & “] 警告: 失敗ログオン検知!”
WScript.Echo “User: ” & objLog.User
WScript.Echo “Message: ” & objLog.Message
End Sub
3. シニアエンジニアが押さえるべき最適化の勘所
オブジェクトのライフサイクル管理
VBScriptはCOMベースの言語だ。`Set obj = Nothing` を省略するエンジニアが多いが、長時間稼働させる監視モジュールにおいてメモリリークは致命傷となる。本コードではスコープを意識し、監視停止時には確実にハンドルを解放するように設計すべきだ。
セキュリティコンテキストの重要性
WMIでイベントログを叩くには、高い権限が必要となる。スクリプト実行時に「管理者として実行」が必要なだけでなく、`impersonationLevel=impersonate` を指定し、必要に応じて`(Security)`権限を付与しなければ、特定のセキュリティログにはアクセスできない。この「権限の壁」を突破する設定こそが、システム管理者の腕の見せ所だ。
パフォーマンスへの配慮：WITHIN句
クエリ内の `WITHIN 5` は重要だ。これはWMIがイベントをポーリングする間隔を秒単位で指定している。これを小さくしすぎるとWMIのCPU負荷が跳ね上がり、大きくしすぎるとリアルタイム性が損なわれる。環境に合わせて3〜10秒の間で調整するのが、パフォーマンスと即時性の妥協点である。
結びに代えて
VBScriptは古い言語かもしれないが、WMIという強力なAPIを呼び出すための「最も薄い皮」であることに変わりはない。巨大なフレームワークをインストールすることなく、OSの深淵を制御できるこの言語の力は、クラウド全盛の今だからこそ、トラブルシューティングの切り札として再評価されるべきだ。
次に現場で「監視システムを作れ」という無茶振りが来たとき、ぜひこの設計思想を思い出してほしい。泥臭いコードではなく、OSと対話するスマートなコードで、静かなる守護者を実現してほしい。
