メジャーバージョンが **7 以上**であることを確認してください。そうでない場合は、[PowerShell 7.x をダウンロード](https://github.com/PowerShell/PowerShell/releases)してください。

> **注:** このスクリプトには PowerShell 7.0 以降が必要です。Windows PowerShell 5.1 はサポートされていません。

### ステップ 2: スクリプトのダウンロード

**オプション A: リポジトリをクローンする（推奨）**```powershell
git clone https://github.com/Logisek/HuntCyberArk.git
cd HuntCyberArk

### ステップ3: 実行ポリシーの設定（必要に応じて）

スクリプト実行エラーが発生した場合は、一時的にスクリプトの実行を許可してください:```powershell
# Check current policy
Get-ExecutionPolicy

# Set for current session only (recommended)
Set-ExecutionPolicy -ExecutionPolicy Bypass -Scope Process

# Or unblock the downloaded script
Unblock-File -Path .\CyberArk-Security-Audit.ps1

### ステップ5: 接続のテスト

PVWAサーバーに到達できることを確認してください。```powershell
# Test basic connectivity
Test-NetConnection -ComputerName pvwa.domain.com -Port 443

# Test HTTPS endpoint
Invoke-WebRequest -Uri "https://pvwa.domain.com/PasswordVault/" -UseBasicParsing -TimeoutSec 10

## 監査フェーズと認証要件

監査は2つのフェーズで実行され、それぞれ異なる認証要件があります。

### フェーズ1: 認証不要のチェック（資格情報不要）
資格情報なしで実行できる外部/ブラックボックステスト:
- ネットワークセキュリティ（ポートスキャン、ボールトポートの露出）
- TLS/SSL構成と証明書分析
- ブラックボックスWebセキュリティ（露出したエンドポイント、情報漏洩）
- PVWAのセキュリティヘッダーとクッキーセキュリティ
- CVE固有の脆弱性テスト（2025年のCVEを含む）
- APIセキュリティテスト（認証不要のエンドポイント）
- コンポーネントバージョン検出
- タイミング攻撃検出
- JWT/OAuth2セキュリティテスト
- WebSocketエンドポイントの検出
- WAF回避テスト
- CyberArk Identity/Privilege Cloud認証エンドポイントテスト（StartAuthentication、ForgotUsername）

**使用ケース**: ペネトレーションテスト、外部セキュリティ評価、クイック偵察

### フェーズ2: 認証が必要なチェック（CyberArk API資格情報が必要）
CyberArk REST APIアクセスを必要とする詳細な構成監査:
- セーフの構成と権限
- アカウントと資格情報管理設定
- プラットフォーム構成
- ユーザーアカウントとボールト権限
- 認証方法の設定
- コンポーネントの健全性状態
- マスターポリシー、PSM、CPM、PTAの構成
- マシンIDセキュリティ（サービスアカウント、AppID）
- シークレット管理（CP/CCP構成）
- ゼロスタンディング特権（JITアクセス評価）
- IDガバナンス（孤立したID、権限のドリフト）
- クラウドセキュリティ（AWS/Azure/GCP統合）
- ディザスタリカバリ（DR Vault、HAクラスタの健全性）
- コンプライアンスマッピング（NIST、SOC 2、PCI-DSS）
- Secrets Hub統合（クラウドネイティブシークレット同期）
- リモートアクセス / Aleroセキュリティ
- Kubernetesシークレットセキュリティ
- DevSecOpsパイプラインセキュリティ
- Privilege Cloud / SaaS固有のチェック
- CyberArk Identity / Idaptive統合
- カスタムプラグインセキュリティ
- バックアップセキュリティ
- HSM統合
- PTA高度な検出
- サードパーティ統合（SIEM、ITSM、SOAR）
- 運用衛生メトリクス
- 攻撃経路シミュレーション
- サプライチェーン整合性
- ネットワークセグメンテーション

**必要な権限**: Vault AdminまたはAuditorロール推奨

## 機能

### セキュリティチェックカテゴリ

| カテゴリ | コントロールプレフィックス | 説明 |
|----------|---------------|-------------|
| CIS Benchmark | 1.x - 8.x | CIS CyberArk PAM Benchmark v1.0コンプライアンス |
| Vendor Best Practices | V1.x - V8.x | CyberArkセキュリティ強化推奨事項 |
| Blackbox Testing | BB1 - BB11 | 認証なしの外部セキュリティテスト |
| Network Security | NET1 - NET7 | ポートスキャンとネットワーク露出分析 |
| TLS Security | TLS1 - TLS4 | SSL/TLS構成と暗号スイート分析 |
| CVE Checks | CVE1 - CVE23 | 既知のCyberArk脆弱性検出（2018-2025） |
| Security Bulletins | CA25-x | CyberArkセキュリティ速報チェック |
| API Security | API1 - API5 | REST APIセキュリティテスト |
| Authentication Security | AUTH1 - AUTH2 | CyberArk Identity/Privilege Cloud認証エンドポイントテスト |
| **Advanced Security** | | |
| Machine Identity | MID1 - MID9 | サービスアカウント、AppID、AIM Providerセキュリティ |
| Secrets Management | SEC1 - SEC14 | Credential Provider/CCPおよびConjurセキュリティ |
| Zero Standing Privileges | ZSP1 - ZSP5 | JITアクセスと特権評価 |
| Identity Governance | IGA1 - IGA8 | ライフサイクルと権限管理 |
| EPM Integration | EPM1 - EPM6 | Endpoint Privilege Managerチェック |
| Cloud Security | CLD1 - CLD6 | Secure Cloud Accessチェック |
| Disaster Recovery | DR1 - DR5 | HAとDR構成 |
| Compliance Mapping | COMP1 - COMP4 | NIST、SOC2、PCI-DSSの整合性 |
| Audit Logging | AUD1 - AUD4 | SIEMとログ検証 |
| **Security Posture Expansion** | | |
| Secrets Hub | SH1 - SH6 | クラウドシークレット同期の健全性、レイテンシ、バージョンドリフト |
| Remote Access / Alero | RA1 - RA6 | ベンダー招待、MFA、セッション制限、デバイスバインディング |
| Kubernetes Secrets | K8S1 - K8S8 | Secrets Provider、RBAC、ポッドセキュリティ、Conjurフォロワー |
| DevSecOps Pipeline | DSO1 - DSO6 | CI/CDシークレット取得、スプロール検出、短命トークン |
| Privilege Cloud | PC1 - PC5 | コネクタの健全性、テナント分離、ISP統合 |
| CyberArk Identity | IDN1 - IDN6 | SSO統合、アダプティブMFA、セッションリスクスコアリング |
| Custom Plugins | PLG1 - PLG5 | PSM/CPMプラグインセキュリティ、デジタル署名、ACL |
| Backup Security | BKP1 - BKP5 | 暗号化、ファイル権限、リストアテスト |
| HSM Integration | HSM1 - HSM4 | HSMの健全性、鍵ラッピング、パーティション分離 |
| PTA Deep Dive | PTAD1 - PTAD6 | カスタムルール、ML品質、UEBA、アラート疲れ |
| Third-Party Integration | TPI1 - TPI5 | SIEM/ITSM/SOAR接続性、資格情報の健全性 |
| Operational Hygiene | OPS1 - OPS8 | オンボーディングキュー、CPM障害、PSMメトリクス、ライセンス |
| Attack Path Simulation | APS1 - APS6 | PtH、NTLMリレー、Kerberoasting、特権昇格 |
| Supply Chain Integrity | SCI1 - SCI5 | ファイルハッシュ、パッチの最新性、コード署名 |
| Network Segmentation | NSG1 - NSG5 | ボールト分離、コンポーネントACL、東西監視 |

### 詳細なチェックカバレッジ

#### CIS Benchmarkコンプライアンス（1.x - 8.x）
- 専用Vaultサーバー構成
- ファイアウォールルールとサービスの堅牢化
- マスターポリシーのパスワード設定
- パスワードの複雑さと有効期限
- セーフのアクセスと権限
- 自動パスワード管理
- MFAとLDAPセキュリティ
- PSMセッション記録
- 監査ログとSIEM統合
- TLS構成

#### ベンダーベストプラクティス（V1.x - V8.x）
- マスターポリシー設定（有効期間、ワンタイムパスワード、排他アクセス）
- PSM記録、キーストロークログ、クリップボード制限
- アカウント検出とオンボーディングルール
- PTA異常検出
- 接続コンポーネントセキュリティ
- リンクされたアカウント（ログオン/リコンサイル）
- PVWA HTTPセキュリティヘッダー
- CPMサービス構成

#### ブラックボックスセキュリティテスト（BB1 - BB11）
- 露出した機密エンドポイント（Swagger、APIドキュメント、管理ページ）
- 情報漏洩（バージョン、スタックトレース）
- デフォルト資格情報テスト
- 危険なHTTPメソッド（PUT、DELETE、TRACE）
- クッキーセキュリティ属性（Secure、HttpOnly、SameSite）
- CORSの誤構成
- バックアップ/設定ファイルの露出
- ディレクトリリスト
- SSL/TLS証明書の問題
- レート制限検出
- 既知の脆弱性パターン

#### CyberArk Identity / Privilege Cloud認証セキュリティ（AUTH1 - AUTH2）
- **StartAuthentication情報漏洩**: 以下の機密データ漏洩を検出:
  - 事前認証レスポンスでのセッションID露出
  - 認証チャレンジによるユーザー列挙（有効ユーザーと無効ユーザー）
  - MFAメカニズムの開示（UP、SMS、EMAIL、OATH、QRなど）
  - 認証レスポンスでのメール/PII開示
  - テナントID露出
  - 認証構成の詳細
- **ForgotUsernameエンドポイント列挙**: パスワードリカバリを介したユーザー名列挙テスト:
  - 機能可用性検出
  - 有効ユーザーと無効ユーザーの差分応答分析

#### ネットワークセキュリティ（NET1 - NET7）
- **ポートスキャン**: CyberArk固有ポートの包括的スキャン
  - PVWA (443, 80)
  - Vault (1858, 1859)
  - 管理（RDP、SSH、WinRM）
  - データベース（MSSQL、MySQL、PostgreSQL、Oracle）
  - プロトコル（SMB、NetBIOS、LDAP、SNMP）
- Vaultポート（1858）セキュリティ分析
- DNSセキュリティ構成

#### TLS/SSLセキュリティ（TLS1 - TLS4）
- 弱いプロトコル検出（SSLv2、SSLv3、TLS 1.0、TLS 1.1）
- 暗号スイート強度分析
- 弱い暗号検出（RC4、DES、3DES、MD5、NULL、EXPORT）
- 証明書検証
- 鍵サイズ検証
- 署名アルゴリズムチェック

#### CVE固有の脆弱性チェック（CVE1 - CVE23）
- **CVE-2018-9842**: ポート1858経由のVaultメモリ開示
- **CVE-2018-9843**: PVWA逆シリアル化RCE（事前認証）
- **CVE-2019-7442**: SAML認証のXXE
- **CVE-2021-31796**: リモート資格情報ファイルの悪用（露出した.credファイルを調査し、VerificationsFlagを分析してパスワードが復号可能か判断）
- **CVE-2021-37151**: MFA応答長によるCyberArk Identityユーザー名列挙（Medium） - StartAuthentication情報漏洩チェックで検出
- **CVE-2022-22700**: X-CFY-TX-TMタイミングヘッダーによるCyberArk Identityユーザー名列挙（Medium） - StartAuthentication情報漏洩チェックで検出
- **CWE-200**: StartAuthenticationエンドポイント情報漏洩（セッションID、MFAメカニズム、テナントID、認証構成）
- **CWE-203**: ForgotUsernameエンドポイントの観測可能な差異によるユーザー名列挙
- **CVE-2024-42340**: CWE-602 クライアント側の強制バイパス
- **CVE-2024-42339**: IDOR / 機密情報漏洩
- **CVE-2024-54840**: PVWA Host Header Injection（Medium）
- **CVE-2024-57967**: PVWA LDAPマッピング特権昇格（Medium）
- **CVE-2025-22270**: EPMロール管理におけるHTMLインジェクション
- **CVE-2025-22271**: EPM X-Forwarded-Forスプーフィング
- **CVE-2025-22272**: EPMのmodalDlgMsgInternalによるXSS
- **CVE-2025-22273**: EPMパスワード変更ブルートフォース
- **CVE-2025-22274**: EPMアプリケーション定義インジェクション
- **CVE-2025-49827**: Secrets Manager IAM認証バイパス（Critical）
- **CVE-2025-49828**: Secrets Managerリモートコード実行（High）
- **CVE-2025-49829**: Secrets Manager検証欠落（Moderate）
- **CVE-2025-49830**: Secrets Managerパストラバーサルとファイル開示（High）
- **CVE-2025-49831**: Secrets Managerネットワークバイパス（Critical）
- セキュリティ速報: CA25-25、CA25-29、CA25-32、CA25-34、CA25-35
- 追加チェック: パストラバーサル、Log4Shell指標、レガシーAPIバージョン
- サードパーティ: ag-gridプロトタイプ汚染（CVE-2024-38996）、Log4Shell（CVE-2021-44228）

#### APIセキュリティテスト（API1 - API5）
- **BOLA/IDOR**: 壊れたオブジェクトレベルの承認
- **インジェクションテスト**: SQLインジェクション、LDAPインジェクション
- **マスアサインメント**: 特権プロパティインジェクション
- **APIバージョニング**: レガシーAPIエンドポイント検出

#### 高度なセキュリティチェック
- コンポーネントバージョン検出とCVEマッピング
- セッションセキュリティ（固定化、同時セッション）
- ヘッダーインジェクション（Hostヘッダー、CRLF）
- SOAPエンドポイントでのXXE脆弱性テスト

#### マシンIDセキュリティ（MID1 - MID9）
- サービスアカウントの列挙と特権分析
- マシンIDパスワードローテーションの検証
- 過剰特権サービスアカウントの検出
- 証明書ベースの認証構成
- AppIDセキュリティ検証（許可されたマシン、OSユーザー制限）
- 古いマシンIDの検出
- AIM Providerデプロイメント検証
- AIM Provider構成セキュリティ
- AIM Providerボールト接続性

#### シークレット管理（SEC1 - SEC14）
- Credential Provider（CP/CCP）デプロイメント検証
- AppID認証方式の強度分析
- 許可されたマシン構成検証
- キャッシュTTLとリフレッシュ間隔設定
- CCP TLS/mTLS構成
- シークレットローテーションポリシーの適用
- 孤立/未管理シークレットの検出
- 資格情報のスプロール分析
- Conjur統合の健全性
- MAMLポリシー検証
- 認証構成（LDAP、OIDC、IAM、K8s）
- Conjurデータベース暗号化
- APIキーローテーションポリシー
- Conjur監査ログ

#### ゼロスタンディング特権（ZSP1 - ZSP5）
- 永続的特権アクセスの検出
- デュアルコントロールワークフローの検証
- 同時セッション制限チェック
- チェックイン/チェックアウトの適用
- 常駐特権削減の推奨事項
- JIT準備スコアリング

#### IDガバナンス（IGA1 - IGA8）
- 孤立したIDの検出
- 権限ドリフトの分析
- 非アクティブユーザーアカウントの検出
- 過剰なセーフメンバーシップの分析
- アクセス認定ステータス
- ロール/グループメンバーシップのスプロール
- 保留中のアカウントキューの経過期間
- アカウント所有権のギャップ検出

#### EPM統合（EPM1 - EPM6）
*EPM URLとオプションの認証が必要*
- EPM統合ステータス検証
- デフォルトポリシーのセキュリティ評価
- アプリケーション制御モードの検証
- 資格情報窃取防止ステータス
- 昇格リクエストの正当性要件
- EPM監査ログ構成

#### クラウドセキュリティ（CLD1 - CLD6）
- クラウドプロバイダー統合ステータス（AWS、Azure、GCP）
- フェデレーションID構成
- クラウドシークレット同期ポリシーの検証
- CIEM統合評価
- クラウドIAMロールバインディング分析
- マルチクラウドポリシーの一貫性

#### ディザスタリカバリ（DR1 - DR5）
- DR Vaultレプリケーションステータス
- HAクラスタの健全性検証
- コンポーネント冗長性評価
- バックアップ構成検証
- 緊急アクセスアカウントの可用性

#### コンプライアンスマッピング（COMP1 - COMP4）
- NISTサイバーセキュリティフレームワークマッピング
- SOC 2 Type II整合性指標
- PCI-DSS関連コントロール
- CyberArk Blueprint成熟度スコアリング

#### 監査ログ（AUD1 - AUD4）
- SIEM統合の健全性
- 監査ログ保持構成
- クリティカルイベントアラート検証
- 監査データの整合性検証

#### Active Directoryセキュリティ（AD1 - AD7） - zBangインスパイア
*ドメイン接続と`-IncludeADChecks`パラメータが必要*
- **シャドウアドミン発見**: 特権オブジェクトに対する直接ACL権限を持つアカウントを検出
- **スケルトンキー検出**: ドメインコントローラ上のSkeleton Keyマルウェア指標をチェック
- **SID履歴分析**: 特権SID履歴属性を持つアカウントを識別
- **リスクの高いSPN構成**: SPNを持つユーザーアカウントを検出（Kerberoastingターゲット）
- **制約なし委任**: 制約なしKerberos委任を持つアカウントを発見
- **プロトコル移行を伴う制約付き委任**: S4U2Self悪用の可能性を検出
- **委任特権監査**: 包括的な委任構成サマリー

#### Secrets Hub（SH1 - SH6）
*`-IncludeSecretsHubChecks`とオプションで`-SecretsHubUrl`が必要*
- Secrets Hub同期の健全性監視
- 同期レイテンシ測定
- ソースとターゲット間のバージョンドリフト検出
- 同期失敗率分析
- ターゲット構成検証
- Secrets Hub監査ログ

#### リモートアクセス / Alero（RA1 - RA6）
*`-IncludeRemoteAccessChecks`とオプションで`-AleroUrl`が必要*
- ベンダー招待ワークフローセキュリティ
- セッション時間制限構成
- 生体認証/デバイスバインディング要件
- リモートアクセス監査ログの完全性
- 定期的なアクセスレビューの適用
- リモートアクセス向けMFAの適用

#### Kubernetesシークレット（K8S1 - K8S8）
*`-IncludeK8sChecks`とオプションで`-K8sNamespace`、`-ConjurApplianceUrl`が必要*
- Secrets Providerデプロイメントモード検証
- ポッドセキュリティコンテキスト検証
- サービスアカウントJWT認証
- Kubernetesシークレットローテーション
- シークレット用RBAC構成
- マウントされたシークレット権限
- Conjurフォロワーの健全性
- Kubernetes監査ログ

#### DevSecOpsパイプライン（DSO1 - DSO6）
*`-IncludeDevSecOpsChecks`が必要*
- CI/CDシークレット取得パターン
- パイプラインシークレットスプロール検出
- 短命トークン使用の検証
- パイプライン監査ログ
- ビルドアーティファクト内のシークレット検出
- パイプラインIDバインディング

#### Privilege Cloud（PC1 - PC5）
*`-IncludePrivilegeCloudChecks`または`-PrivilegeCloudTenant`または`-IsPrivilegeCloud`が必要*
- Privilege Cloudコネクタの健全性
- Identity Security Platform統合
- Privilege Cloud APIセキュリティ
- テナント分離検証
- クラウドコネクタの冗長性

#### CyberArk Identity（IDN1 - IDN6）
*`-IncludeIdentityChecks`または`-IdentityTenantUrl`が必要*
- PVWAとのSSO統合
- アダプティブMFAポリシー構成
- Identityライフサイクル同期
- セッションリスクスコアリング
- Identity監査統合
- 特権アプリケーションカタログポリシー

#### カスタムプラグイン（PLG1 - PLG5）
*`-IncludePluginChecks`が必要*
- カスタムPSMコネクタセキュリティ
- カスタムCPMプラグインインジェクションリスク
- 不正/古いコンポーネント検出
- プラグインデジタル署名検証
- カスタムスクリプトファイル権限

#### バックアップセキュリティ（BKP1 - BKP5）
*`-IncludeBackupSecurityChecks`とオプションで`-BackupPath`が必要*
- Vaultバックアップの暗号化
- バックアップファイル権限
- 転送中のバックアップ暗号化
- バックアップリストアテスト
- バックアップ保持ポリシー

#### HSM統合（HSM1 - HSM4）
*`-IncludeHSMChecks`とオプションで`-HSMProvider`が必要*
- HSM接続性と健全性
- HSM鍵ラッピング構成
- HSMパーティション分離
- HSMファームウェアの最新性

#### PTAディープダイブ（PTAD1 - PTAD6）
*`-IncludePTADeepDive`が必要*
- PTAカスタム検出ルール
- PTA MLモデル品質
- PTAアラート疲れ（誤検知分析）
- PTA検出ルールカバレッジ
- PTA UEBA統合
- PTA自動応答アクション

#### サードパーティ統合（TPI1 - TPI5）
*`-IncludeThirdPartyChecks`とオプションで`-ServiceNowUrl`、`-SIEMUrl`が必要*
- ITSM（ServiceNow）統合
- SOAR自動応答プレイブック
- SIEM PAMイベント相関
- SIEMログフォワーダーの健全性
- 統合資格情報の健全性

#### 運用衛生（OPS1 - OPS8）
*`-IncludeOperationalChecks`が必要*
- アカウントオンボーディングキューメトリクス
- CPMパスワード変更失敗率
- PSMセッション成功/失敗率
- CPMリコンサイルバックログ
- プラットフォーム接続エラー
- Vault使用率と容量
- ライセンスコンプライアンス
- コンポーネント稼働時間

#### 攻撃経路シミュレーション（APS1 - APS6）
*`-IncludeAttackPathChecks`が必要*
- ワークステーションからPAMへの昇格経路
- Pass-the-Hash攻撃面
- NTLMリレーリスク
- キャッシュされた資格情報抽出耐性
- Kerberoasting露出
- 特権昇格経路

#### サプライチェーン整合性（SCI1 - SCI5）
*`-IncludeSupplyChainChecks`が必要*
- コンポーネントファイルハッシュ検証
- パッチの最新性確認
- サードパーティライブラリの脆弱性
- デジタル署名検証
- コンポーネント起源検証

#### ネットワークセグメンテーション（NSG1 - NSG5）
*`-IncludeNetworkSegmentationChecks`が必要*
- Vaultネットワーク分離
- PSMからVaultへの通信制限
- PVWAからバックエンドへのセグメンテーション
- 東西トラフィック監視
- コンポーネント固有のネットワークACL

## 要件

### ソフトウェア要件

| コンポーネント | バージョン | 注意事項 |
|-----------|---------|-------|
| PowerShell | 7.0+ | PowerShell 7.xが必要（Windows PowerShell 5.1は非対応） |
| .NET Framework | 4.5+ | TLS/SSLおよびネットワーク操作に必要 |
| CyberArk PVWA | v12+ | 完全な互換性にはREST API v12以降が必要 |

### フェーズ別アクセス要件

| フェーズ | 要件 | 目的 |
|-------|-------------|---------|
| フェーズ1 | PVWAへのネットワークアクセス | ブラックボックステスト、ポートスキャン、TLS分析 |
| フェーズ2 | CyberArk API資格情報 | 構成監査、ポリシーチェック |

### 認証済みチェックに必要な資格情報

フェーズ2（認証済みチェック）では、以下のいずれかのロールを持つCyberArk資格情報が必要です:
- **Vault Admin**: すべての構成およびセキュリティ設定へのフルアクセス
- **Auditor**: 監査構成への読み取り専用アクセス（セキュリティ評価に推奨）
- **Safe Owners**: 所有するセーフに限定（部分的な監査カバレッジ）

### 使用するWindows機能

このスクリプトは以下のWindows/PowerShell機能を使用します（インストール不要）:

| 機能 | 使用目的 |
|---------|----------|
| `System.Net.Sockets.TcpClient` | ポートスキャン、Vaultポートセキュリティ |
| `System.Net.Security.SslStream` | TLS/SSLプロトコルと暗号列挙 |
| `Invoke-WebRequest` / `Invoke-RestMethod` | HTTPテスト、APIコール |

## クイックスタート```powershell
# 1. Verify PowerShell version (need 7.0+)
$PSVersionTable.PSVersion

# 2. Enable TLS 1.2
[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12

# 3. Run unauthenticated scan (no credentials needed)
.\CyberArk-Security-Audit.ps1 -PVWA "https://pvwa.domain.com" -UnauthenticatedOnly

# 4. Run full scan with authentication
.\CyberArk-Security-Audit.ps1 -PVWA "https://pvwa.domain.com" -AuthType LDAP

### 認証付きフル監査```powershell
# Full audit with LDAP authentication
.\CyberArk-Security-Audit.ps1 -PVWA "https://pvwa.domain.com" -AuthType LDAP

# Full audit with pre-supplied credentials
$cred = Get-Credential
.\CyberArk-Security-Audit.ps1 -PVWA "https://pvwa.domain.com" -Credential $cred

### 特定のチェックカテゴリのみを実行

`-Only*` パラメータを使用して、特定のチェックカテゴリのみを実行します:```powershell
# Run ONLY port scanning
.\CyberArk-Security-Audit.ps1 -PVWA "https://pvwa.domain.com" -OnlyPortScan

# Run ONLY CVE vulnerability checks
.\CyberArk-Security-Audit.ps1 -PVWA "https://pvwa.domain.com" -OnlyCVEChecks

# Run ONLY network security checks (ports, TLS, DNS)
.\CyberArk-Security-Audit.ps1 -PVWA "https://pvwa.domain.com" -OnlyNetworkChecks

# Run ONLY unauthenticated blackbox checks
.\CyberArk-Security-Audit.ps1 -PVWA "https://pvwa.domain.com" -OnlyBlackboxChecks

# Run ONLY authenticated API checks
.\CyberArk-Security-Audit.ps1 -PVWA "https://pvwa.domain.com" -OnlyAuthenticatedChecks -Credential $cred

### 一般的なシナリオ```powershell
# External penetration test (no access, no credentials)
.\CyberArk-Security-Audit.ps1 -PVWA "https://pvwa.domain.com" -UnauthenticatedOnly

# Internal security audit (with CyberArk credentials)
.\CyberArk-Security-Audit.ps1 -PVWA "https://pvwa.domain.com" -AuthType LDAP

# Quick check (skip intensive scans)
.\CyberArk-Security-Audit.ps1 -PVWA "https://pvwa.domain.com" -SkipPortScan -SkipCVEChecks

# Fast parallel port scanning (4.5x faster on PowerShell 7+)
.\CyberArk-Security-Audit.ps1 -PVWA "https://pvwa.domain.com" -ParallelExecution -MaxThreads 10

### CyberArk ツール統合シナリオ```powershell
# AD Security Audit (zBang-inspired) - detect shadow admins, Kerberos issues
.\CyberArk-Security-Audit.ps1 -PVWA "https://pvwa.domain.com" -AuthType LDAP -IncludeADChecks

# AD Security with specific Domain Controller
.\CyberArk-Security-Audit.ps1 -PVWA "https://pvwa.domain.com" -IncludeADChecks -DomainController "dc01.domain.com"

# Conjur/Secrets Manager integration check
.\CyberArk-Security-Audit.ps1 -PVWA "https://pvwa.domain.com" -IncludeConjurChecks -ConjurUrl "https://conjur.domain.com"

# Comprehensive audit with CyberArk tools integration
.\CyberArk-Security-Audit.ps1 `
    -PVWA "https://pvwa.domain.com" `
    -AuthType LDAP `
    -IncludeADChecks `
    -IncludeConjurChecks `
    -ConjurUrl "https://conjur.domain.com" `
    -ComplianceMapping

**生成される出力ファイル:**

監査を実行すると、出力ディレクトリに以下のファイルがあります:```
C:\SecurityReports\CyberArk\
├── CyberArk_Security_Audit_20260116_143022.html          # Interactive HTML dashboard
├── CyberArk_Security_Audit_20260116_143022.json          # Comprehensive JSON data
├── CyberArk_Security_Audit_20260116_143022_Executive_Summary.csv
├── CyberArk_Security_Audit_20260116_143022_Full_Findings.csv
├── CyberArk_Security_Audit_20260116_143022_Failed_Findings.csv
├── CyberArk_Security_Audit_20260116_143022_Remediation_Tracker.csv
├── CyberArk_Security_Audit_20260116_143022_Skipped_Checks.csv
├── CyberArk_Security_Audit_20260116_143022_CIS_Compliance_Matrix.csv
└── CyberArk_Security_Audit_20260116_143022_Component_Summary.csv

## パラメータ

| パラメータ | 必須 | デフォルト | 説明 |
|-----------|----------|---------|-------------|
| PVWA | はい | - | PVWAサーバーURL（例：https://pvwa.domain.com） |
| AuthType | いいえ | CyberArk | 認証方式: CyberArk, LDAP, RADIUS, SAML |
| OutputPath | いいえ | カレントディレクトリ | レポート出力ディレクトリ |
| Credential | いいえ | プロンプト | 認証用PSCredential |
| **スキップパラメータ** | | | |
| SkipPortScan | いいえ | False | ネットワークポートスキャンをスキップ |
| SkipCVEChecks | いいえ | False | CVE固有の脆弱性テストをスキップ |
| SkipAPITests | いいえ | False | APIセキュリティテストをスキップ |
| SkipAuthenticatedChecks | いいえ | False | フェーズ2の認証済みチェックをすべてスキップ |
| SkipSecretsChecks | いいえ | False | Secrets Managementチェックをスキップ（SEC1-SEC14） |
| SkipMachineIdentity | いいえ | False | Machine Identityチェックをスキップ（MID1-MID9） |
| SkipIGAChecks | いいえ | False | Identity Governanceチェックをスキップ（IGA1-IGA8） |
| SkipCloudChecks | いいえ | False | Cloud Securityチェックをスキップ（CLD1-CLD6） |
| SkipDRChecks | いいえ | False | Disaster Recoveryチェックをスキップ（DR1-DR5） |
| SkipDefaultCredentialTests | いいえ | False | デフォルト/脆弱な資格情報テストをスキップ（BB3） |
| SkipSecretsHubChecks | いいえ | False | Secrets Hubチェックをスキップ（SH1-SH6） |
| SkipRemoteAccessChecks | いいえ | False | Remote Access/Aleroチェックをスキップ（RA1-RA6） |
| SkipK8sChecks | いいえ | False | Kubernetesチェックをスキップ（K8S1-K8S8） |
| SkipDevSecOpsChecks | いいえ | False | DevSecOpsチェックをスキップ（DSO1-DSO6） |
| SkipPrivilegeCloudChecks | いいえ | False | Privilege Cloudチェックをスキップ（PC1-PC5） |
| SkipIdentityChecks | いいえ | False | CyberArk Identityチェックをスキップ（IDN1-IDN6） |
| SkipPluginChecks | いいえ | False | カスタムプラグインチェックをスキップ（PLG1-PLG5） |
| SkipBackupSecurityChecks | いいえ | False | バックアップセキュリティチェックをスキップ（BKP1-BKP5） |
| SkipHSMChecks | いいえ | False | HSM統合チェックをスキップ（HSM1-HSM4） |
| SkipPTADeepDive | いいえ | False | PTAディープダイブチェックをスキップ（PTAD1-PTAD6） |
| SkipThirdPartyChecks | いいえ | False | サードパーティ統合チェックをスキップ（TPI1-TPI5） |
| SkipOperationalChecks | いいえ | False | 運用衛生チェックをスキップ（OPS1-OPS8） |
| SkipAttackPathChecks | いいえ | False | 攻撃経路シミュレーションチェックをスキップ（APS1-APS6） |
| SkipSupplyChainChecks | いいえ | False | サプライチェーン完全性チェックをスキップ（SCI1-SCI5） |
| SkipNetworkSegmentationChecks | いいえ | False | ネットワークセグメンテーションチェックをスキップ（NSG1-NSG5） |
| **モードパラメータ** | | | |
| UnauthenticatedOnly | いいえ | False | フェーズ1のみ実行（認証情報不要） |
| IncludeEPMChecks | いいえ | False | EPM統合チェックを含める |
| ComplianceMapping | いいえ | False | コンプライアンスフレームワークマッピングを生成 |
| **選択的実行** | | | |
| OnlyPortScan | いいえ | False | ポートスキャンチェックのみ実行 |
| OnlyCVEChecks | いいえ | False | CVE脆弱性チェックのみ実行 |
| OnlyAuthenticatedChecks | いいえ | False | 認証済みAPIチェックのみ実行 |
| OnlyNetworkChecks | いいえ | False | ネットワークセキュリティチェックのみ実行（TLS、ポート、DNS） |
| OnlyBlackboxChecks | いいえ | False | 未認証ブラックボックスチェックのみ実行 |
| **CyberArkツールパラメータ** | | | |
| IncludeADChecks | いいえ | False | Active Directoryセキュリティチェックを有効化（zBangインスパイア） |
| IncludeConjurChecks | いいえ | False | Conjur/Secrets Manager統合チェックを有効化 |
| ConjurUrl | いいえ | - | 統合チェック用ConjurサーバーURL |
| DomainController | いいえ | - | ADセキュリティクエリ用ドメインコントローラ |
| **レッドチームパラメータ** | | | |
| OPSECMode / Stealth | いいえ | False | OPSEC/ステルスモードを有効化（遅延とノイズ低減） |
| Proxy | いいえ | - | トラフィックルーティング用プロキシURL（例：http://127.0.0.1:8080） |
| ProxyCredential | いいえ | - | 認証プロキシの資格情報 |
| IgnoreCertificateErrors | いいえ | False | SSL/TLS証明書検証をスキップ |
| RequestDelay | いいえ | 0 | リクエスト間の遅延（秒、0-60） |
| Jitter | いいえ | 0 | タイミング変動用ランダムジッター率（0-100） |
| UserAgent | いいえ | - | カスタムUser-Agent文字列 |
| RandomizeUserAgent | いいえ | False | 一般的なUser-Agent文字列をローテーション |
| IncludeTimingAttacks | いいえ | False | タイミングベースの脆弱性検出を有効化 |
| IncludeJWTTests | いいえ | False | JWT/OAuth2セキュリティテストを有効化 |
| IncludeWebSocketTests | いいえ | False | WebSocketエンドポイント検出を有効化 |
| IncludeWAFEvasion | いいえ | False | WAF/IDSバイパステストを有効化 |
| NoLogo | いいえ | False | バナー表示を抑制 |
| QuietMode | いいえ | False | コンソール出力を削減（情報メッセージ抑制） |
| EnablePasswordSpraying | いいえ | False | パスワードスプレーを有効化（明示的な確認が必要） |
| **パフォーマンスパラメータ** | | | |
| ParallelExecution | いいえ | False | 高速スキャンのための並列実行を有効化 |
| MaxThreads | いいえ | 5 | 最大同時スレッド数（1-20） |
| **EPMパラメータ** | | | |
| EPMUrl | いいえ | - | EPM統合チェック用EPMサーバーURL |
| **セキュリティポスチャパラメータ** | | | |
| IncludeSecretsHubChecks | いいえ | False | Secrets Hubクラウド同期チェックを有効化 |
| SecretsHubUrl | いいえ | - | 統合チェック用Secrets Hub URL |
| IncludeRemoteAccessChecks | いいえ | False | Remote Access/Aleroチェックを有効化 |
| AleroUrl | いいえ | - | ベンダーアクセスチェック用Alero URL |
| IncludeK8sChecks | いいえ | False | Kubernetes/コンテナシークレットチェックを有効化 |
| K8sNamespace | いいえ | default | シークレットチェック用Kubernetes名前空間 |
| ConjurApplianceUrl | いいえ | - | K8s統合用ConjurアプライアンスURL |
| IncludeDevSecOpsChecks | いいえ | False | DevSecOpsパイプラインセキュリティチェックを有効化 |
| IncludePrivilegeCloudChecks | いいえ | False | Privilege Cloud/SaaS固有チェックを有効化 |
| IsPrivilegeCloud | いいえ | False | ターゲットがPrivilege Cloud SaaSであることを指定 |
| PrivilegeCloudTenant | いいえ | - | Privilege Cloudテナント識別子 |
| IncludeIdentityChecks | いいえ | False | CyberArk Identity/Idaptiveチェックを有効化 |
| IdentityTenantUrl | いいえ | - | CyberArk IdentityテナントURL |
| IncludePluginChecks | いいえ | False | カスタムプラグインセキュリティチェックを有効化 |
| IncludeBackupSecurityChecks | いいえ | False | バックアップセキュリティチェックを有効化 |
| BackupPath | いいえ | - | 分析用Vaultバックアップファイルへのパス |
| IncludeHSMChecks | いいえ | False | HSM統合チェックを有効化 |
| HSMProvider | いいえ | - | HSMプロバイダタイプ (Thales, nCipher, SafeNet, AWSCloudHSM, AzureHSM, Other) |
| IncludePTADeepDive | いいえ | False | 高度なPTA検出チェックを有効化 |
| IncludeThirdPartyChecks | いいえ | False | SIEM/ITSM/SOAR統合チェックを有効化 |
| ServiceNowUrl | いいえ | - | ITSMチェック用ServiceNow URL |
| SIEMUrl | いいえ | - | イベント相関チェック用SIEM URL |
| IncludeOperationalChecks | いいえ | False | 運用衛生メトリクスを有効化 |
| IncludeAttackPathChecks | いいえ | False | 攻撃経路シミュレーションチェックを有効化 |
| IncludeSupplyChainChecks | いいえ | False | サプライチェーン完全性チェックを有効化 |
| IncludeNetworkSegmentationChecks | いいえ | False | ネットワークセグメンテーションチェックを有効化 |
| **その他のパラメータ** | | | |
| PortScanTimeout | いいえ | 1000 | ポートスキャン接続タイムアウト（ms） |
| VerboseOutput | いいえ | False | 詳細ログを有効化 |

## 出力

スクリプトは、詳細なセキュリティ評価レポートの作成をサポートするために設計された、3つの形式の包括的なレポートを生成します。

### レポート形式

#### 1. HTMLレポート（インタラクティブダッシュボード）

モダンでインタラクティブなHTMLレポート。以下の機能を含みます：

- **目次**: すべてのレポートセクションへのクイックナビゲーション
- **エグゼクティブサマリー**: 全体的なリスク評価、コンプライアンス率、主要メトリクス
- **主要リスクセクション**: ビジネス影響を含む上位10の重要/高リスク所見
- **CISベンチマークコンプライアンスマトリックス**: コントロールごとのコンプライアンス状況
- **詳細所見テーブル**: 完全な証拠と是正手順を含む展開可能な行
  - 任意の所見をクリックして表示: 証拠、技術詳細、リスク説明、ビジネス影響、CVSSスコア、是正手順、参照情報
  - **概念実証（PoC）**: ペネトレーションテストレポート用のリクエスト/レスポンス証拠（利用可能な場合）
- **是正ロードマップ**: 優先順位付けされたタイムライン（24時間/1週間/30日/90日）
- **コンポーネント分析**: CyberArkコンポーネント（Vault, CPM, PSM, PVWA, PTA）ごとにグループ化された所見
- **スキップされたチェック**: フォローアップガイダンス付き手動検証要件
- **印刷対応**: 印刷時にすべての所見を自動展開

#### 2. CSVレポート（7つの個別ファイル）

異なる対象者向けに複数のCSVファイルを生成:

| ファイル | 目的 | 対象者 |
|------|---------|----------|
| `Executive_Summary.csv` | 高レベルメトリクスとリスク概要 | リーダーシップ、経営陣 |
| `Full_Findings.csv` | 20以上のフィールドを含む完全な所見 | セキュリティアナリスト |
| `Failed_Findings.csv` | 失敗したチェックのみ、重要度順 | 是正チーム |
| `Remediation_Tracker.csv` | 担当者、ステータス、期限付きの実践可能なトラッカー | IT運用 |
| `Skipped_Checks.csv` | 手動検証が必要なチェック | 監査人 |
| `CIS_Compliance_Matrix.csv` | コントロールごとのコンプライアンス状況 | コンプライアンス責任者 |
| `Component_Summary.csv` | コンポーネントごとにグループ化された所見 | コンポーネントオーナー |

#### 3. JSONレポート（構造化データ）

プログラムによる解析のための包括的な構造化データ:```json
{
  "reportInfo": { "title", "generatedAt", "version" },
  "auditMetadata": { "target", "auditDate", "auditorInfo" },
  "executiveSummary": {
    "overallRiskRating": "Fair",
    "riskScore": 45,
    "keyMetrics": { "totalChecks", "passed", "failed", "compliance%" },
    "findingsBySeverity": { "critical", "high", "medium", "low" },
    "keyRisks": [ /* top 10 findings */ ],
    "immediatePriorities": [ /* critical recommendations */ ]
  },
  "complianceAnalysis": {
    "overallCompliance": 78.5,
    "cisControlsCompliance": { /* per-control matrix */ }
  },
  "componentAnalysis": { /* findings by component */ },
  "categoryAnalysis": { /* findings by category */ },
  "remediationRoadmap": {
    "immediate": { "timeframe": "24-48 hours", "findings": [] },
    "urgent": { "timeframe": "1 week", "findings": [] },
    "standard": { "timeframe": "30 days", "findings": [] },
    "routine": { "timeframe": "90 days", "findings": [] }
  },
  "detailedFindings": { "failed", "passed", "all" },
  "skippedChecks": { "summary", "requiresFollowUp", "all" },
  "appendix": { "glossary", "severityDefinitions", "riskScoreExplanation" }
}

#### PowerShell バージョンエラー

**エラー**: `This script requires PowerShell 7 or higher.`

**解決方法**:```powershell
# Check current version
$PSVersionTable.PSVersion

# Install PowerShell 7
winget install Microsoft.PowerShell

# Or download from: https://github.com/PowerShell/PowerShell/releases

#### 証明書検証エラー

**Error**: `The underlying connection was closed: Could not establish trust relationship`

**解決策**: これは通常、PVWAの証明書の問題（例：自己署名証明書）を示しています。スクリプトはこれを自動的にセキュリティ検出事項としてキャプチャし、完全なカバレッジを提供するために評価を続行します。スクリプトには、運用の継続性を確保するための証明書検証バイパスが含まれています:```powershell
# The script automatically bypasses certificate validation for assessment continuity
# while capturing certificate issues as findings
[System.Net.ServicePointManager]::ServerCertificateValidationCallback = { $true }

#### ポートスキャンのタイムアウト

**エラー**: ポートスキャンに時間がかかりすぎる、またはタイムアウトする

**解決策**:```powershell
# Increase timeout (default is 1000ms)
.\CyberArk-Security-Audit.ps1 -PVWA "https://pvwa.domain.com" -PortScanTimeout 3000

# Or skip port scanning entirely
.\CyberArk-Security-Audit.ps1 -PVWA "https://pvwa.domain.com" -SkipPortScan

### ヘルプの取得

上記でカバーされていない問題に遭遇した場合:

1. 詳細出力で実行: `-VerboseOutput`
2. 生成されたJSONレポートで詳細なエラー情報を確認
3. 関連エラーについてWindowsイベントログを確認
4. エラーの詳細と環境情報を添えてGitHubでIssueを開く

## 参考資料

### CyberArk ドキュメント
- [CyberArk セキュリティ強化ガイド](https://docs.cyberark.com/)
- [CyberArk REST API ドキュメント](https://docs.cyberark.com/Product-Doc/OnlineHelp/PAS/Latest/en/Content/WebServices/Implementing%20Privileged%20Account%20Security%20Web%20Services%20.htm)

### CyberArk オープンソースセキュリティツール
- [zBang](https://github.com/cyberark/zBang) - 特権アカウントの脅威（シャドウ管理者、Kerberos、SPN）のリスク評価ツール
- [Conjur](https://github.com/cyberark/conjur) - シークレット管理プラットフォーム
- [ACLight](https://github.com/cyberark/ACLight) - シャドウ管理者の発見（zBangの一部）
- [Ansible Security Automation Collection](https://github.com/cyberark/ansible-security-automation-collection) - CyberArk Ansible 統合

## ライセンス

このツールはセキュリティ評価目的で現状のまま提供されます。責任を持って倫理的に使用してください。