PC動作監視を自動化したら画面が一瞬チラつく問題の解決と、Sysmonの罠

title: PC監視を自作してつまずいた、画面のチラつきと謎のアカウントの解決策 description: Windows SysmonでPC監視システムを自作した際につまずいた、PowerShell画面のチラつき、CodexSandboxアカウントの誤検知、IPv6によるDNS漏れの解決策を解説します。

PCの不審な動きを検知するために監視システムを自作した際、15分ごとに黒い画面が一瞬だけ開いて作業が中断される問題に直面しました。さらに、身に覚えのない「CodexSandboxOnline」というアカウントが作成され、侵入警報が鳴るトラブルも発生。この記事では、実際に開発する中で踏み抜いたこれらのトラブルの解決策と、Windows Sysmonを用いた監視環境の構築手順を解説します。私が実際に手を動かして解決した手順です。

タスクスケジューラでPowerShell画面が一瞬表示される現象を消すには？

自作の監視スクリプトをタスクスケジューラで15分ごとに自動実行するように設定したところ、作業中にPowerShellのコンソールウィンドウが一瞬だけ表示され、アクティブなウィンドウのフォーカスを奪われる現象が発生しました。 タスクスケジューラの設定変更では別の権限問題が発生するため、VBScriptを経由してPowerShellを非表示で起動する方式に変更しました。

以下のVBScriptファイルを作成し、タスクスケジューラから呼び出します。

Set shell = CreateObject("WScript.Shell")
shell.Run "powershell.exe -ExecutionPolicy Bypass -File C:\SecurityWatch\collect.ps1", 0, False

shell.Run の第2引数に 0 を指定することで、ウィンドウを非表示にしてPowerShellを実行できます。これで、作業中に突然画面がチラつくストレスから完全に解放されました。

謎のアカウント「CodexSandbox」が勝手に作成される原因と対策

監視システムの稼働後、CodexSandboxOnline などの謎のアカウント作成を検知しました。調査の結果、犯人は外部の侵入者ではなく、自身で使用していたChatGPT（OpenAIのCodex機能）でした。

なぜChatGPTが勝手にアカウントを作るの？

ChatGPTやCodexがプログラムを安全にテスト実行（サンドボックス環境での動作確認）するために、Windows内に一時的な隔離用アカウントを自動作成する仕様になっているためです。

このアカウントは無害ですが、監視ルールで検知対象にしていると誤検知されます。ChatGPT利用時は、除外リストにアカウント名を追加してください。

Codexの具体的な挙動や導入時の注意点については、OpenAI Codexを自分のPCで動かす設定と、導入でつまずく3つの罠で詳しく解説しています。

あわせて読みたいOpenAI Codexを自分のPCで動かす設定と、導入でつまずく3つの罠OpenAI Codexを自分のPCで動かす設定手順と、導入時につまずきやすい3つのポイントを解説します。自律してコードを書くAIエージェントをコマンド操作で動…

Windows 11に標準搭載されたSysmonを有効化する手順

Windows Sysmonは、Windows 11のアップデートによりOSのオプション機能として標準搭載されました。有効化の手順は以下の通りです。

1. 管理者権限でPowerShellを起動します。
2. 以下のコマンドを実行して、オプション機能を有効化します。

Enable-WindowsOptionalFeature -Online -FeatureName Sysmon

3. 有効化後、Sysmonサービスを初期化して起動します。

sysmon -i

これでSysmonのログが記録され始めます。デフォルトのログサイズ上限である 20MB ではすぐに上書きされるため、数GB程度まで拡張してください。

自作監視で踏み抜いたDNS設定と「IPv6」の盲点

外部への不審な通信をブロックするためDNSを「1.1.1.2」に変更しましたが、一部でブロックが機能していませんでした。原因は、Wi-Fi接続の IPv6 側DNS設定がルーターを向いたままだったことです。WindowsはIPv6を優先するため、IPv4側だけを変更してもルーターを素通りします。

解決するには、IPv4とIPv6の DNS設定 を以下のように揃えます。

# Wi-FiアダプターのDNSをIPv4/IPv6ともに安全なサーバーに固定
Set-DnsClientServerAddress -InterfaceAlias 'Wi-Fi' -ServerAddresses "1.1.1.2", "1.0.0.2"
Set-DnsClientServerAddress -InterfaceAlias 'Wi-Fi' -ServerAddresses "2606:4700:4700::1112", "2606:4700:4700::1002"

ルーターの接続トラブルや自動再起動の仕組みについては、WiMAX L13のWi-Fiが切れる問題を解決し、ワンタップで再起動するツールにまとめています。

あわせて読みたいWiMAX L13のWi-Fiが切れる問題を解決し、ワンタップで再起動するツールWiMAX L13の通信速度低下やDNSの詰まりをワンタップで解消するPowerShellツールを開発。DNS変更時のWi-Fi切断や、管理画面のログイン自動化…

このような監視システムの構築には、他にも多くの落とし穴が存在します。より詳細なトラブルシューティングは、SysmonでPC監視システムを自作して踏み抜いた9つの落とし穴と解決策を参考にしてください。

あわせて読みたいSysmonでPC監視システムを自作して踏み抜いた9つの落とし穴と解決策SysmonとPowerShellでPC監視システムを自作した開発ログ。画面のチラつきやIPv6のDNS抜け穴など、実際に開発して踏み抜いた9つの落とし穴と解決…

次にやること

まずはご自身のPCのタスクスケジューラに登録されているPowerShellタスクを見直し、一瞬だけ表示されるウィンドウをVBScript経由の非表示設定に切り替えてみてください。作業中のストレスが解消されるはずです。

ただし、Sysmonのログを監視して、Codexのような無害なプログラムと本物の脅威を正確に仕分けするルールを自分で一から構築し、ダッシュボードまで作成するには膨大な調整とデバッグの手間がかかります。