fleet-cve-scanner

RMM管理下のフリート向けのオープンソース、単一スクリプトのCVEスキャナー。純粋なPowerShell 7で、エージェント不要、アプライアンス不要、ライセンス料無料。

管理下のすべてのエンドポイント上のすべてのソフトウェアに対して、1つの質問に答えます：インストールされているバージョンが脆弱であることが知られているか、そしてその緊急度はどの程度か？ — RMMのソフトウェアインベントリを、無料で信頼できるセキュリティフィードと結合することで実現します：

• NIST NVD — 既知のCVE + 影響を受けるバージョン範囲
• CISA KEV — 実際に悪用されているもの（スコアしきい値をバイパス）
• EPSS — 今後30日以内に悪用される確率
• CISA SSVC — 行動/注意/追跡の優先順位付け判断
• MSRC — Microsoftのパッチがすでにその発見をカバーしているという証拠
• endoflife.date — 二度とパッチが提供されないソフトウェア

出力：デバイスごとのCSVレポート、SLAクロックと週次変更イベントを含むSQLite履歴、自己完結型のHTMLダッシュボード、オプションのMarkdown公開レポート。

ステータス

v1.0.0. エンジンは、Windowsフリートに対して本番環境で週次実行されていたスキャナーからクリーンルームで移植されました（docs/HISTORY.md参照）。このリリースの前に、2つを同一のライブフリートに対して実行し、行ごとに比較しました：両方が同一の*(デバイス、ソフトウェア、バージョン)*を確認した数万の検出結果にわたって、すべての計算フィールド — ステータス、CVSS、深刻度、KEVフラグ、SSVC判断、修正バージョン — が完全に一致しました。

この比較は判定ロジックをカバーしています。履歴/SQLレイヤーはテストされておらず、お客様の環境でツールを検証する代わりにはなりません。信頼する前にdocs/known-limitations.mdをお読みください — これはお世辞ではなく正直に書かれています。

クイックスタート

PowerShell 7（pwsh）が必要です。2つの実行方法：

A. ライブ NinjaOne スキャン

cp config.example.json config.json
# config.json を編集: ninjaone.client_id / client_secret / base_url を記入、
# output.report_dir を設定し、（推奨）nvd.api_key を設定
pwsh -File fleet-cve-scan.ps1

B. オフライン — 任意のRMM、SCCM、またはIntune（APIアクセス不要）

インベントリをCSVにエクスポートします（列：hostname, software, version、オプションでdevice_id, os）。その後：

cp config.example.json config.json   # ここでは output.report_dir のみ必要
pwsh -File fleet-cve-scan.ps1 -InputCsv inventory.csv

-InputCsv はゼロのNinjaOne呼び出しを行います — OAuthもAPIも不要です。それでもNVDやその他の公開フィードをクエリするため、config.json に nvd.api_key と有効な output.report_dir が必要です。入力契約とRMMごとのエクスポートレシピについてはdocs/rmm-adapters.mdを参照してください。

前提条件のインストール

• PowerShell 7 — macOS: brew install powershell; Windows: winget install Microsoft.PowerShell; Debian/Ubuntu: Microsoftパッケージリポジトリ（packages.microsoft.com）からインストール。
• sqlite3（オプション、履歴/トレンドを有効にする） — macOS: プリインストール済みまたは brew install sqlite; Debian/Ubuntu: apt-get install sqlite3; Windows: SQLiteの「tools」バンドルをsqlite.orgからダウンロードし、sqlite3.exe を PATH に置くか、スクリプトと同じディレクトリに置く。これがない場合でもスキャンは実行されますが、first_seen は実行日にフォールバックします。

要件

• PowerShell 7（7.4+ 推奨）。並列スキャンには7.0+が必要です。
• sqlite3 — オプション。履歴DB、トレンド、SLA first_seen 追跡を有効にします。ない場合 = それらの機能はスキップされ、スキャンは完了します。
• ネットワーク出力 — NVD、CISA（KEV）、epss.empiricalsecurity.com（EPSSバルクスコアホスト — FIRSTがEPSSデータホスティングをそこに移行）、MSRC、endoflife.date、GitHub raw（CVE Program cvelistV5） — さらにライブモードではNinjaOne API。
• 認証情報 — ライブモードではNinjaOne OAuth2クライアントID/シークレットが必要。オフラインモードではインベントリCSVのみが必要。NVD APIキーは技術的にはオプションですが、フリート規模では事実上必須：NVDではキーありで50リクエスト/30秒、キーなしで5/30秒が許可されています。スキャナーはどちらを持っているかを検出し、それに合わせてスロットリングするため、キーなしの実行は正しいですが、約10倍遅くなります — 少数の製品には問題ありませんが、実際のフリートには実用的ではありません。キーは無料です。

設定リファレンス

設定はJSONファイルです（デフォルトはスクリプトと同じディレクトリの config.json。-ConfigPath で上書き可能）。config.example.json から始めてください。スキャナーが読み取るすべてのキー、省略時のデフォルト値、その機能：

ninjaone（ライブモード）

nvd

スキャンとスコアリング

キャッシュとレート制限

nvd_min_spacing_ms、nvd_rate_limit、および parallel_throttle はスキャナーによって読み取られますが、config.example.json には含まれていません — チューニングが必要な場合のみ追加してください。docs/rate-limiting.md を参照してください。

エンリッチメントとSLA

output

出力

以下はすべて output.report_dir に出力されます。

• vuln-report-YYYY-MM-DD.csv — 発見ごとのレポート。28列（スキーマは以下）。
• vuln-history.db — SQLite履歴（sqlite3 が必要）：runs（実行ごとの集計）、findings（(device, software, cve) ごとのオープン発見履歴、first_seen / last_seen / resolved_date / epss_score を含む）、および changes（型付けされた週次イベント）。
• cve-dashboard.html — 自己完結型HTMLダッシュボード（チャートライブラリはインライン化、外部リクエストなし）。オプションで output.dashboard_share にコピーされます。
• eol-report-YYYY-MM-DD.csv — サポート終了ファミリーが検出された場合に書き込まれます。

CSVスキーマ（28列）

列セットは固定されており、ゲートで強制されます。順に：

スケジューリング

Run-WeeklyScan.ps1 はスケジュール実行用のラッパーです：自身のディレクトリからスキャナーを実行し、すべての出力ストリームを <スクリプトディレクトリ>/logs/ の下の日付付きログにキャプチャし（-LogDir で上書き可能）、スキャナーの終了コードを伝搬してスケジューラーが失敗を認識できるようにします。

Windows タスクスケジューラ：

schtasks /Create /TN "CVE-Scan-Weekly" ^
  /TR "pwsh -NoProfile -File C:\path\to\Run-WeeklyScan.ps1" ^
  /SC WEEKLY /D SUN /ST 22:00 /RU SYSTEM

cron（Linux/macOS）：

0 22 * * 0  pwsh -File /path/to/Run-WeeklyScan.ps1

ダッシュボードホスティング

cve-dashboard.html は完全に自己完結型です — 直接開くか、任意の静的ホストまたはファイル共有に配置するか、output.dashboard_share を使用して各実行後に自動的にコピーできます。アクセス制御されたホスティングには、dashboard-auth/ ディレクトリにMicrosoft Entra（Azure AD）認証付きの最小限のASP.NETホストが同梱されています。そのREADMEとRUNBOOKを参照してください。

正直な制限事項（信頼する前に読んでください）

• CPEマッチングは本質的にあいまいです。 典型的なインベントリの40〜60％にはNVDエントリがまったくなく、スキップされます（ログに記録され、決して黙って無視されることはありません）。名前ベースのCPE選択は間違った製品を選ぶ可能性があります。抑制ワークフローが存在するのは、その必要があるからです。これは無料NVDアプローチの上限です — 厳選された検出カタログを持つ有料スキャナーの方が正確です。このツールの価値は、無料で透明性があり、監査可能であることです。
• UNKNOWNは第一級の判定です。 スキャナーが脆弱またはパッチ済みを証明できない場合、推測する代わりにそのように報告します。
• NinjaOneに対してのみ検証済み。 スキャンエンジンはRMMに依存しません（入力は単にデバイス＋ソフトウェア＋バージョン）。-InputCsv モードにより、任意のRMM/SCCM/Intuneエクスポートをフィードできますが、本番環境で実行されたのはNinjaOneアダプターのみです。

完全で率直なリスト — CPEスキップ率、重複キーのマスキング、page-1の totalResults、MSRCの優先順位の隙間など — はdocs/known-limitations.mdにあります。

設計ノート

一見型破りに見えるいくつかの構造上の選択は意図的です：

• モジュールではなく単一ファイル。 スキャンのホットパスは ForEach-Object -Parallel 内で実行され、それらの実行スペースは外側のスコープの関数を見ることができません — そのため、いくつかのヘルパーが並列ブロック内で意図的に重複しています。1ファイルに1関数のモジュールレイアウトでは、その重複は除去されません（並列ボディは依然として実行スペースごとにソースを注入する必要があります）。ビルドステップが追加され、1ファイルコピーのデプロイモデルが壊れるだけです。プロジェクトがいつか単一ファイルを超える場合、パッケージ化はv2の形の変更であり、パッチではありません。
• [PSCustomObject] レコード、クラスではない。 発見レコードは並列実行スペース内で生成され、メインの実行スペースにマーシャリングされます。PowerShellクラスインスタンスはその境界を確実に超えられません。[PSCustomObject] はそれを超えられ、CSV列契約は型システムではなくリリースゲートによって強制されます。
• PesterではなくプレーンなPS7テストスクリプト。 tests/ 内のスイートは、終了コードアサーションを持つ依存関係のないスクリプトであり、pwsh が存在する任意の場所（スキャンサーバーを含む）で、何もインストールせずに実行可能です。CIはWindowsとUbuntuの両方ですべてを実行します。

ドキュメント

• docs/how-it-works.md — スキャンパイプラインを段階ごとに、判定ロジック、キャッシュ規律、フェイルソフト契約。
• docs/known-limitations.md — スキャナーが誤る可能性のあるすべての既知の方法とその理由。
• docs/rate-limiting.md — NVDレート制限の教訓をオペレーターガイドおよびチューニングテーブルとして。
• docs/rmm-adapters.md — 入力契約、2つの組み込みインベントリパス、およびネイティブアダプターの追加方法。
• docs/HISTORY.md — 圧縮されサニタイズされたバージョン履歴と、各リリースの背後にあるエンジニアリングの教訓。

貢献

PR歓迎 — 特にRMMアダプター。基本ルールと安全な方向性の要件（ステータスロジックは「より多くの」可視性に向かってのみ誤る可能性があり、決して黙ってPATCHEDに向かってはならない）についてはCONTRIBUTING.mdを参照してください。

データソースと帰属

このツールは、結合する無料で信頼できるフィードと同じくらい有用です。それぞれがスキャン時にクエリされます。これに基づいて構築する場合は、それぞれの利用規約を尊重してください。

• NIST National Vulnerability Database (NVD) — CVEレコードと影響を受けるバージョン範囲。NVD API経由。この製品はNVD APIを使用していますが、NVDによって承認または認定されていません。https://nvd.nist.gov/
• CISA Known Exploited Vulnerabilities (KEV) Catalog — 実際に悪用されていることが知られているCVEの信頼できるリスト。https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• CVE Program — cvelistV5 — CVEレコードと、CISA ADPによって提供されるSSVC/vulnrichmentデータ。CVE®はMITRE Corporationの登録商標です。https://github.com/CVEProject/cvelistV5
• SSVC (Stakeholder-Specific Vulnerability Categorization) — このツールの行動/注意/追跡判断ロジックは、CERT/CC SSVC（カーネギーメロン大学ソフトウェア工学研究所）およびCISA SSVCコーディネーター決定木バージョン2.0.3に基づいています。CERT/CCおよびCISAへのクレジットが必要です。https://www.cisa.gov/ssvc · https://github.com/CERTCC/SSVC
• FIRST.org EPSS (Exploit Prediction Scoring System) — 今後30日以内の悪用確率。EPSSデータはFIRSTによって提供されています。Jay Jacobs、Sasha Romanosky、Benjamin Edwards、Michael Roytman、Idris Adjerid（2021）、Exploit Prediction Scoring System、Digital Threats: Research and Practice、2(3)を参照。https://www.first.org/epss/
• Microsoft Security Response Center (MSRC) — CVRF API。Microsoftセキュリティ更新プログラムがすでに発見をカバーしていることを確認するために使用されます。© Microsoft Corporation。https://api.msrc.microsoft.com/ · https://msrc.microsoft.com/
• endoflife.date — 二度とパッチが提供されないソフトウェアのサポート終了日とサポート終了日。データはendoflife.dateプロジェクトのご厚意によるものです。https://endoflife.date/

ライセンス

Apache-2.0 — LICENSEを参照。