既に運用中の Zabbix を脆弱性管理コンソールに変えます。
ztc は、標準の zabbix-agent2 を通じて各ホストのソフトウェアインベントリを読み取り（追加エージェントは不要）、Vulners と照合して、スコア付きのホスト別検出結果（問題、ダッシュボード、CVSS グラフ）を Zabbix に書き戻します。静的バイナリ1つで、1コマンドでインストールできます。
UserParameter でインベントリを報告します。修復は単一のホワイトリスト化されたキーと限定された sudoers 経由でのみ行われ、任意の system.run は使われません。audit/linux、Windows のレジストリソフトウェアは Smart Audit、インストール済み KB は audit/kb（CVE ごとの CVSS 付き）で監査します。Smart Audit は Zabbix のバージョンに依存しません。Zabbix サーバー（または Zabbix + Vulners に到達できる任意の Linux ホスト）で:
curl -fsSL https://raw.githubusercontent.com/vulnersCom/zabbix-threat-control/master/deploy/install.sh | sudo sh
インストーラは Vulners API キーと Zabbix 接続情報を尋ね、systemd サービスをインストールし、Zabbix エンティティの作成（ztc provision --all）を提案します。その後、スキャンしたいホストに収集テンプレートをリンクしてください。詳細は docs/guide.md を参照してください。
その他のオプション（Docker、手動、エアギャップ、Zabbix 経由のブートストラップ）: deploy/README.md。
hosts: zabbix-agent2 UserParameter
Linux → vulners.os / version / arch / packages
Windows → vulners.os / version / win.software / win.kb
│ (polled into Zabbix items)
▼
ztc scan ─► collect (Zabbix API) ─► audit (Vulners) ─► aggregate ─► sender ─► Zabbix
│
problems (CVSS severity) · dashboard · graphs · vulners.host tags ◄┘
ztc scan --daemon はスケジュールに従ってループを実行し、ztc provision は Zabbix テンプレート、レポートホスト、トリガー、ダッシュボードを作成します。
Vulners - Hosts、- Bulletins、- Packages、- Statistics。vulners.host タグが付与されます。Monitoring → Problems で Tags: vulners.host Equals <host> をフィルタすると、1つのホストの脆弱性を確認できます。（1つの検出結果 = 1つの（脆弱性, ホスト）ペア。）フリート全体の中央値 CVSS トレンドとスコア分布:
深刻度の内訳 — 実際の Disaster / High / Average / Warning の件数が表示され、灰色の「Not classified」バー1本にはなりません:
1つのホストの脆弱性 — vulners.host タグフィルタを使用:
単一の検出結果 — CVSS でスコアリングされ、ホストタグが付き、vulners.com にリンクされています:
すべての項目にデフォルト値があります。シークレットは環境変数で指定できます（YAML ファイルより優先されます）。完全な例: config.example.yaml。
| Env | 目的 |
|---|---|
VULNERS_API_KEY | Vulners API キー（必須） |
VULNERS_BASE_URL | セルフホスト / プロキシの Vulners エンドポイント（オプション） |
ZABBIX_URL | Zabbix フロントエンド URL（JSON-RPC API） |
ZABBIX_TOKEN | API トークン（推奨）… |
ZABBIX_USER / ZABBIX_PASSWORD | …またはユーザー + パスワード |
ZABBIX_SERVER_FQDN / ZABBIX_SERVER_PORT | zabbix-sender の接続先 |
ZTC_SCHEDULE | デーモンのスキャン間隔（例: 1h） |
ZTC_MIN_CVSS | この CVSS 未満の検出結果をオブジェクト作成前に除外 |
ztc --help に全項目が表示されます。
ztc scan --daemon # run the scan loop on a schedule
ztc scan --once # a single cycle
ztc provision --all # create/reconcile templates, report hosts, dashboard
ztc fix --host H --package P # remediate a package (whitelisted, opt-in)
ztc upgrade # self-update, then re-run `provision --all`
ztc version --check # print version and check for updates
ztc fix は、ホスト側ワーカーが消費するホワイトリスト化された vulners.fix[<pkg>] エージェントキーを介して脆弱なパッケージをアップグレードします。任意のコマンド実行は行われません。手動で実行することも、scan --daemon --auto-fix を使用して、Zabbix で問題を承認した信頼できるユーザーによって駆動することもできます。設計根拠: docs/adr/0001-remediation-mechanism.md。
| Zabbix | 6.0 & 7.0 LTS、7.4、8.0（自動検出） |
| 監査対象 OS | Linux（deb/rpm/apk/…）、Windows（ソフトウェア + KB） |
| ztc の実行環境 | Linux amd64 / arm64 |
元の Python 実装は、このリポジトリの git 履歴（Go 書き換え前のコミット）と Go 化以前のリリースタグに残っています。Zabbix 側の名前（グループ、レポートホスト、ダッシュボード）は同じですが、同梱の report.py ではなく標準エージェントキーで収集し、テンプレートを2つに分割し、fix Action を廃止しています。ステップバイステップ（設定マッピング、オブジェクトのクリーンアップ、ホストの再計装、修復の切り替え）: docs/MIGRATION.md。
go build ./... # compile
go test ./... # unit tests (no network)
go vet ./... && gofmt -l .
make build # -> bin/ztc
Docker テスト環境（Zabbix + agent + ztc）は deploy/docker/README.md にあります。CI（ビルド/テスト/リンタ）はプッシュのたびに実行され、v* タグを付けるとバイナリと GHCR イメージが公開されます。
LICENSE を参照してください。