PowerShellでのイベントログ監視と通知

Tech

本記事はGeminiの出力をプロンプト工学で整理した業務ドラフト（未検証）です。

PowerShellでのイベントログ監視と通知

Windows環境における安定稼働には、システムやアプリケーションのイベントログを適切に監視し、異常を早期に検知して通知する仕組みが不可欠です。PowerShellは、その強力なスクリプト機能と豊富なコマンドレットにより、イベントログ監視と通知システムを柔軟かつ効率的に構築するための理想的なツールとなります。本記事では、PowerShellを用いたイベントログ監視と通知の具体的な実装方法について、並列処理、エラーハンドリング、安全性といった現場で求められる要素を網羅して解説します。

目的と前提 / 設計方針（同期/非同期、可観測性）

目的

特定のイベントログを継続的に監視し、設定された条件（イベントID、ソース、レベルなど）に合致するイベントが発生した場合に、指定された方法で管理者に通知することを目指します。これにより、システム障害の予兆検知やセキュリティインシデントへの迅速な対応が可能になります。

前提

  • 実行環境: PowerShell 7.x 以降を推奨します。ForEach-Object -Parallel などの機能はPowerShell 7.0で導入されたためです。PowerShell 5.1環境で並列処理を行う場合は、ThreadJobモジュールまたはRunspaceプールの利用を検討する必要があります。

  • 実行権限: イベントログの読み取り権限および、通知方法に応じたネットワークアクセス権限が必要です。リモートホストを監視する場合は、リモートホストへのアクセス権限（WinRMなど）も必要となります。

設計方針

  • 同期/非同期:

    • 同期（定期的バッチ処理）: Get-WinEventコマンドレットを使用し、一定間隔（例: 5分ごと）で過去のイベントログを走査する方法です。複数のホストを対象とする場合に、ForEach-Object -Parallelと組み合わせることで高いスループットを実現できます。

    • 非同期（リアルタイム監視）: Register-WmiEventコマンドレットを使用し、イベント発生時に即座に通知をトリガーする方法です。特定のイベントに対する即時対応が必要な場合に適していますが、監視対象ホストごとに永続的なプロセスが必要となります。

  • 可観測性:

    • スクリプトの実行状況、検出されたイベント、通知の成否などを詳細にログ出力します。Start-Transcriptによるトランスクリプトログと、ConvertTo-Jsonによる構造化ログを併用します。

    • エラー発生時には、具体的なエラーメッセージと発生箇所を明確に記録し、スクリプトの異常終了を防ぐためのエラーハンドリングを導入します。

コア実装（並列/キューイング/キャンセル）

ここでは、複数のリモートホストからイベントログを定期的に収集し、条件に合致するイベントを通知するスクリプトを例に説明します。並列処理にはPowerShell 7.0以降で利用可能なForEach-Object -Parallelを使用します。

処理フローの可視化

定期的なイベントログ監視の処理フローは以下のようになります。

flowchart TD
    A["スクリプト開始"] --> B{"監視対象ホストリスト取得"};
    B --> C["各ホストを並列処理"];
    C --> D("リモートホストに接続");
    D --> E{"イベントログ読み取り"};
    E -- 接続失敗/タイムアウト --> F["エラーログ記録/再試行"];
    F --> C;
    E -- 成功 --> G{"イベントフィルタリング"};
    G -- 条件不一致 --> H["次ホスト/次イベント"];
    G -- 条件一致 --> I["通知メッセージ生成"];
    I --> J["通知実行"];
    J -- 通知失敗 --> K["通知エラーログ記録/再試行"];
    K --> H;
    J -- 成功 --> H["次ホスト/次イベント"];
    H --> L{"全ホスト処理完了？"};
    L -- Yes --> M["スクリプト終了"];
    L -- No --> C;

コード例1：定期的バッチ監視スクリプト（並列処理と再試行）

このスクリプトは、指定されたホストリストから過去一定時間のイベントログを並列で取得し、条件に合致するイベントを検出して通知します。

# 実行前提:


# - PowerShell 7.x 以降が必要です (ForEach-Object -Parallel のため)。


# - 監視対象ホストへのWinRM接続が許可されており、適切な権限を持つアカウントで実行してください。


# - 通知には外部SMTPサーバーへのアクセスまたはWebHook先のURLが必要です。

# --- 設定 ---

$LogDirectory = "C:\EventMonitorLogs"
$HostsToMonitor = @("SERVER01", "SERVER02", "192.168.1.10") # 監視対象のホスト名またはIPアドレス
$LogNames = @("System", "Application", "Security") # 監視対象のログ名
$EventIds = @(10, 100, 4625) # 監視対象のイベントID (例: 10, 100, 4625 for Logon Failure)
$TimeSpan = (New-TimeSpan -Minutes 10) # 過去10分間のイベントを監視
$MaxRetryAttempts = 3 # リモート接続や通知の最大再試行回数
$RetryDelaySeconds = 5 # 再試行間の待機時間
$NotificationThrottleSeconds = 60 # 同一イベントに対する通知を抑制する時間 (秒)

# ログディレクトリの作成

if (-not (Test-Path $LogDirectory)) {
    New-Item -Path $LogDirectory -ItemType Directory | Out-Null
}

$CurrentLogFile = Join-Path $LogDirectory "EventMonitor_$(Get-Date -Format 'yyyyMMdd_HHmmss').log"
$StructuredLogFile = Join-Path $LogDirectory "EventMonitor_Structured_$(Get-Date -Format 'yyyyMMdd_HHmmss').json"

# トランスクリプトを開始 (スクリプト全体のログ)

Start-Transcript -Path $CurrentLogFile -Append -Force

# --- ヘルパー関数 ---

function Send-Notification {
    param(
        [string]$Subject,
        [string]$Body,
        [string]$EventType,
        [string]$ComputerName,
        [string]$LogName,
        [int]$EventId
    )

    # ここに実際の通知ロジックを実装します。


    # 例: メール送信、Slack/Teams Webhook、Push通知など

    # 簡易表示 (デモ用)

    Write-Host "`n--- 通知発動 ---" -ForegroundColor Yellow
    Write-Host "日時: $(Get-Date -Format 'yyyy/MM/dd HH:mm:ss JST')" -ForegroundColor Yellow
    Write-Host "種別: $EventType" -ForegroundColor Yellow
    Write-Host "ホスト: $ComputerName" -ForegroundColor Yellow
    Write-Host "ログ名: $LogName" -ForegroundColor Yellow
    Write-Host "イベントID: $EventId" -ForegroundColor Yellow
    Write-Host "件名: $Subject" -ForegroundColor Yellow
    Write-Host "本文: $Body" -ForegroundColor Yellow
    Write-Host "-----------------" -ForegroundColor Yellow

    # メール送信の例 (実際にはSend-MailMessageを使うか、より高度なモジュールを使用)


    # try {


    #     Send-MailMessage -From "monitor@example.com" -To "admin@example.com" `


    #         -Subject "$Subject - $ComputerName" -Body "$Body" `


    #         -SmtpServer "smtp.example.com" -Credential (Get-Credential) -ErrorAction Stop


    #     Write-Host "通知メールを送信しました: $Subject"


    #     return $true


    # }


    # catch {


    #     Write-Warning "通知メールの送信に失敗しました: $($_.Exception.Message)"


    #     return $false


    # }

    # Webhook通知の例


    # $WebhookUrl = "https://hooks.slack.com/services/..."


    # $Payload = @{


    #     text = "イベント監視: *$Subject*`nホスト: $ComputerName`nログ: $LogName`nID: $EventId`n内容: $Body"


    # } | ConvertTo-Json


    # try {


    #     Invoke-RestMethod -Uri $WebhookUrl -Method Post -ContentType 'application/json' -Body $Payload -ErrorAction Stop


    #     Write-Host "Webhook通知を送信しました: $Subject"


    #     return $true


    # }


    # catch {


    #     Write-Warning "Webhook通知の送信に失敗しました: $($_.Exception.Message)"


    #     return $false


    # }

    return $true # デモ用、常に成功として扱う
}

# 通知履歴を管理するハッシュテーブル (通知抑制のため)

$NotificationHistory = [System.Collections.Concurrent.ConcurrentDictionary[string, datetime]]::new()

# --- メイン処理 ---

Write-Host "イベントログ監視を開始します ($($HostsToMonitor.Count)ホスト対象)..." -ForegroundColor Green
$StartTime = Get-Date
$EndTime = $StartTime
$SearchStartTime = $StartTime - $TimeSpan

# Measure-Command を使って実行時間を計測

$ExecutionResult = Measure-Command {
    $AllEvents = [System.Collections.ArrayList]::new()

    $HostsToMonitor | ForEach-Object -Parallel {
        param($HostName)
        $Script:MaxRetryAttempts = $using:MaxRetryAttempts
        $Script:RetryDelaySeconds = $using:RetryDelaySeconds
        $Script:LogNames = $using:LogNames
        $Script:EventIds = $using:EventIds
        $Script:SearchStartTime = $using:SearchStartTime
        $Script:EndTime = $using:EndTime
        $HostEvents = [System.Collections.ArrayList]::new()

        for ($i = 0; $i -lt $Script:MaxRetryAttempts; $i++) {
            try {
                Write-Host "[$HostName] イベントログを検索中... (試行 $($i+1)/$Script:MaxRetryAttempts)"
                $Events = Get-WinEvent -ComputerName $HostName `
                    -LogName $Script:LogNames `
                    -FilterXPath "*[System[(EventID=$($Script:EventIds -join ' or EventID=')) and TimeCreated[timediff(@SystemTime) <= $($Script:EndTime.Subtract($Script:SearchStartTime).TotalMilliseconds)]]]" `
                    -ErrorAction Stop

                foreach ($Event in $Events) {
                    [void]$HostEvents.Add($Event)
                }
                Write-Host "[$HostName] イベントログ検索完了。検出イベント数: $($Events.Count)"
                break # 成功したらループを抜ける
            }
            catch {
                Write-Warning "[$HostName] イベントログの取得中にエラーが発生しました (試行 $($i+1)/$Script:MaxRetryAttempts): $($_.Exception.Message)"
                if ($i -lt ($Script:MaxRetryAttempts - 1)) {
                    Start-Sleep -Seconds $Script:RetryDelaySeconds
                } else {
                    Write-Error "[$HostName] イベントログ取得の再試行に失敗しました。このホストの処理をスキップします。"
                }
            }
        }

        # 各ホストで取得したイベントを親スコープの $AllEvents に追加する (スレッドセーフにするため、ここでは直接Addせず、パイプで渡す)

        $HostEvents | For-Each Object { $_ }
    } -ThrottleLimit 5 | ForEach-Object { # 最大5ホストを並列処理

        # 並列処理の出力は、このブロックで順次処理される

        [void]$AllEvents.Add($_)
    }
}

Write-Host "`n--- 処理概要 ---" -ForegroundColor Cyan
Write-Host "総実行時間: $($ExecutionResult.TotalSeconds) 秒" -ForegroundColor Cyan
Write-Host "検索対象ホスト数: $($HostsToMonitor.Count)" -ForegroundColor Cyan
Write-Host "全ホストから検出されたイベント総数: $($AllEvents.Count)" -ForegroundColor Cyan
Write-Host "-----------------" -ForegroundColor Cyan

# 検出されたイベントのフィルタリングと通知

$NotifiedEvents = [System.Collections.ArrayList]::new()

foreach ($Event in $AllEvents) {
    $ComputerName = $Event.MachineName
    $LogName = $Event.LogName
    $EventId = $Event.Id
    $LevelDisplayName = $Event.LevelDisplayName
    $TimeCreated = $Event.TimeCreated
    $Message = $Event.Message -replace "`n", " " # メッセージの改行を削除して一行に

    $EventIdentifier = "$ComputerName`:$LogName`:$EventId`:$Message" # 通知抑制のためのユニークな識別子

    # 通知抑制ロジック

    if ($NotificationHistory.ContainsKey($EventIdentifier)) {
        $LastNotificationTime = $NotificationHistory[$EventIdentifier]
        if ((Get-Date) - $LastNotificationTime).TotalSeconds -lt $NotificationThrottleSeconds) {
            Write-Verbose "[$ComputerName:$LogName:$EventId] 通知を抑制しました (最終通知: $LastNotificationTime)"
            continue # このイベントの通知はスキップ
        }
    }

    $Subject = "イベントログアラート: $LevelDisplayName ($EventId) on $ComputerName"
    $Body = "ホスト: $ComputerName`nログ名: $LogName`nイベントID: $EventId`nレベル: $LevelDisplayName`n日時: $($TimeCreated.ToString('yyyy/MM/dd HH:mm:ss JST'))`nメッセージ: $Message"

    # 通知を試行 (最大再試行回数)

    $NotificationSuccess = $false
    for ($i = 0; $i -lt $MaxRetryAttempts; $i++) {
        Write-Host "通知を試行中... (試行 $($i+1)/$MaxRetryAttempts) [$ComputerName:$EventId]"
        if (Send-Notification -Subject $Subject -Body $Body -EventType $LevelDisplayName -ComputerName $ComputerName -LogName $LogName -EventId $EventId) {
            $NotificationSuccess = $true
            break
        }
        Write-Warning "通知に失敗しました。$RetryDelaySeconds 秒後に再試行します。"
        Start-Sleep -Seconds $RetryDelaySeconds
    }

    if ($NotificationSuccess) {

        # 構造化ログへの追加

        [void]$NotifiedEvents.Add(@{
            ComputerName = $ComputerName
            LogName = $LogName
            EventId = $EventId
            Level = $LevelDisplayName
            TimeCreated = $TimeCreated.ToString('o') # ISO 8601形式
            Message = $Message
            NotificationTime = (Get-Date).ToString('o')
            Subject = $Subject
        })

        # 通知履歴を更新

        $NotificationHistory[$EventIdentifier] = Get-Date
    } else {
        Write-Error "最終的に通知に失敗しました: $Subject"
    }
}

# 構造化ログを出力

$NotifiedEvents | ConvertTo-Json -Depth 5 | Out-File $StructuredLogFile -Encoding Utf8

Write-Host "`nスクリプト処理が完了しました。ログファイル: $CurrentLogFile, $StructuredLogFile" -ForegroundColor Green
Stop-Transcript

コード解説:

  • Get-WinEventは、-FilterXPathオプションで高度なフィルタリングが可能です。TimeCreated[timediff(@SystemTime) <= ...]で相対的な時間範囲を指定しています。

  • ForEach-Object -Parallel -ThrottleLimit 5で最大5つのホストを同時に処理します。$using:スコープ修飾子を使って親スコープの変数を並列スクリプトブロック内で利用します。

  • 各リモートホストへの接続や通知処理には、try/catchブロックとループを用いた再試行ロジックを実装しています。

  • Send-Notification関数は、メールやWebHookなど具体的な通知方法に合わせてカスタマイズが必要です。デモでは簡易的なコンソール出力にしています。

  • $NotificationHistoryと$NotificationThrottleSecondsを使って、頻繁に発生する同一イベントによる通知の過負荷を抑制します。

  • Start-Transcriptでスクリプト全体の実行ログを記録し、ConvertTo-Jsonで通知されたイベントの構造化ログを別途出力しています。

コード例2：リアルタイム監視スクリプト（単一ホスト向け）

単一のホストで、特定のイベントが発生した際に即座に通知を行う場合は、Register-WmiEventを使用します。

# 実行前提:


# - PowerShell 5.1 または 7.x 以降で実行可能です。


# - 監視対象イベントログへのアクセス権限が必要です。


# - タスクスケジューラに登録し、システム起動時に実行されるように設定することを推奨します。

# --- 設定 ---

$EventLogName = "System"
$EventIdToMonitor = 7036 # 例: Service Control Manager のサービス開始/停止イベント
$SourceToMonitor = "Service Control Manager"

# 通知関数 (コード例1と同じものを使用)


# function Send-Notification { ... }


# ここではコード例1で定義した関数が読み込まれていると仮定します。


# 実際には上記コード例1の関数定義をここにコピーするか、モジュール化してインポートしてください。


# 簡略化のため、直接Write-Hostで通知とします。

$CurrentLogFile = "C:\EventMonitorLogs\RealtimeMonitor_$(Get-Date -Format 'yyyyMMdd_HHmmss').log"
if (-not (Test-Path (Split-Path $CurrentLogFile))) {
    New-Item -Path (Split-Path $CurrentLogFile) -ItemType Directory | Out-Null
}
Start-Transcript -Path $CurrentLogFile -Append -Force

Write-Host "リアルタイムイベントログ監視を開始します ($EventLogName / EventID: $EventIdToMonitor)..." -ForegroundColor Green

try {

    # WMIイベントサブスクリプションを登録


    # WQLクエリでイベントログをフィルタリングします。


    # __InstanceCreationEvent for new events, WMI EventConsumer to act on them.


    # WMIイベントのログ監視は、Event Log Provider経由でクエリを構築します。


    # SELECT * FROM __InstanceCreationEvent WITHIN 5 WHERE TargetInstance ISA 'Win32_NTLogEvent' AND TargetInstance.Logfile='System' AND TargetInstance.EventCode=7036


    # または、よりシンプルにMSFT_WmiEventを使ってEventlogを直接監視します。


    # Register-WmiEvent は WMI イベントが発生した際にスクリプトブロックを実行します。

    $WqlQuery = "SELECT * FROM Win32_NTLogEvent WHERE LogFile = '$EventLogName' AND EventCode = $EventIdToMonitor AND SourceName = '$SourceToMonitor'"

    Register-WmiEvent -Class Win32_NTLogEvent -FilterScript {
        $_.TargetInstance.LogFile -eq $EventLogName -and `
        $_.TargetInstance.EventCode -eq $EventIdToMonitor -and `
        $_.TargetInstance.SourceName -eq $SourceToMonitor
    } -Action {
        $Event = $Event.NewEvent.__Instance
        $ComputerName = $Event.ComputerName
        $LogName = $Event.LogFile
        $EventId = $Event.EventCode
        $SourceName = $Event.SourceName
        $Message = $Event.Message -replace "`n", " "
        $TimeCreated = (Get-Date ([System.Management.ManagementDateTimeConverter]::ToDateTime($Event.TimeGenerated)))

        $Subject = "リアルタイムアラート: $SourceName ($EventId) on $ComputerName"
        $Body = "ホスト: $ComputerName`nログ名: $LogName`nイベントID: $EventId`nソース: $SourceName`n日時: $($TimeCreated.ToString('yyyy/MM/dd HH:mm:ss JST'))`nメッセージ: $Message"

        Write-Host "`n--- リアルタイム通知発動 ---" -ForegroundColor Red
        Write-Host "日時: $(Get-Date -Format 'yyyy/MM/dd HH:mm:ss JST')" -ForegroundColor Red
        Write-Host "ホスト: $ComputerName" -ForegroundColor Red
        Write-Host "ログ名: $LogName" -ForegroundColor Red
        Write-Host "イベントID: $EventId" -ForegroundColor Red
        Write-Host "件名: $Subject" -ForegroundColor Red
        Write-Host "本文: $Body" -ForegroundColor Red
        Write-Host "---------------------------" -ForegroundColor Red

        # ここで Send-Notification を呼び出す


        # Send-Notification -Subject $Subject -Body $Body -EventType "Realtime" -ComputerName $ComputerName -LogName $LogName -EventId $EventId

        # イベント発生時に構造化ログへ出力

        @{
            ComputerName = $ComputerName
            LogName = $LogName
            EventId = $EventId
            Source = $SourceName
            TimeCreated = $TimeCreated.ToString('o')
            Message = $Message
            NotificationTime = (Get-Date).ToString('o')
            Subject = $Subject
        } | ConvertTo-Json | Out-File (Join-Path (Split-Path $CurrentLogFile) "RealtimeMonitor_Structured_$(Get-Date -Format 'yyyyMMdd').json") -Append -Encoding Utf8
    } -SourceIdentifier "RealtimeEventMonitor"

    Write-Host "WMIイベントサブスクリプションが登録されました。イベントを待機中..." -ForegroundColor Green

    # スクリプトを継続的に実行し、イベントをリッスンします。


    # このスクリプトは無限ループで実行されるため、タスクスケジューラで制御することが一般的です。

    while ($true) {
        Start-Sleep -Seconds 60 # プロセスをアクティブに保つための短いスリープ
    }

}
catch {
    Write-Error "リアルタイム監視中に致命的なエラーが発生しました: $($_.Exception.Message)"
}
finally {

    # 登録されたイベントサブスクリプションを解除する場合


    # Get-EventSubscriber -SourceIdentifier "RealtimeEventMonitor" | Unregister-Event

    Stop-Transcript
    Write-Host "リアルタイムイベントログ監視が終了しました。" -ForegroundColor Red
}

コード解説:

  • Register-WmiEventは、WMIイベント（この場合はWin32_NTLogEvent）の発生を監視し、イベントが発生すると-Actionスクリプトブロックを実行します。

  • -FilterScriptは、Win32_NTLogEventのインスタンスプロパティを使って詳細なフィルタリングを行います。WQLクエリを直接書くよりもPowerShellの構文で記述できます。

  • このスクリプトは常駐するため、通常はWindowsタスクスケジューラに「システム起動時に実行」「失敗時に再起動」などの設定で登録します。

検証（性能・正しさ）と計測スクリプト

監視スクリプトは、大規模環境やイベント多発環境では性能が重要になります。Measure-Commandコマンドレットを使ってスクリプトの実行時間を計測し、性能ボトルネックを特定できます。

性能計測のシナリオ

  1. テストログの生成: Write-EventLogコマンドレットを使用して、テスト用のイベントログを大量に生成します。

  2. 監視スクリプトの実行: 生成されたイベントログを対象に、コード例1のスクリプトを実行します。

  3. 実行時間の計測: Measure-Commandで全体または特定の処理ブロックの実行時間を計測します。

# 実行前提:


# - イベントログへの書き込み権限が必要です。


# - コード例1のスクリプトがC:\Scripts\MonitorEventLog.ps1として保存されていると仮定します。

# --- テストログ生成スクリプト ---

function Generate-TestEventLog {
    param(
        [string]$LogName = "Application",
        [string]$Source = "TestApp",
        [int]$Count = 1000,
        [int]$StartId = 100
    )

    # ログソースが存在しない場合は作成

    if (-not (Get-EventLog -List | Where-Object {$_.LogDisplayName -eq $LogName})) {
        New-EventLog -LogName $LogName -Source $Source
    } elseif (-not (Get-EventLog -LogName $LogName | Select-Object -ExpandProperty Source | Select-Object -Unique | Where-Object {$_ -eq $Source})) {
        New-EventLog -LogName $LogName -Source $Source
    }

    Write-Host "[$LogName:$Source] $Count 件のテストイベントログを生成中..." -ForegroundColor Magenta
    $Timer = [System.Diagnostics.Stopwatch]::StartNew()
    for ($i = 0; $i -lt $Count; $i++) {
        Write-EventLog -LogName $LogName -Source $Source -EventId ($StartId + ($i % 10)) `
            -Message "これはテストイベントです。EventNumber: $i" -EntryType Information -ErrorAction SilentlyContinue
    }
    $Timer.Stop()
    Write-Host "[$LogName:$Source] $Count 件の生成にかかった時間: $($Timer.Elapsed.TotalSeconds) 秒" -ForegroundColor Magenta
}

# --- 検証スクリプト本体 ---


# 大量のイベントログを生成

Generate-TestEventLog -LogName "Application" -Source "TestMonitor" -Count 5000 -StartId 100
Generate-TestEventLog -LogName "System" -Source "Microsoft-Windows-Kernel-General" -Count 2000 -StartId 10

# コード例1のスクリプトを呼び出し、計測


# 例: 監視対象ホストリストを一時的に調整してローカルホストのみにする

$OriginalHosts = $HostsToMonitor
$HostsToMonitor = @("localhost") # この検証のため、一時的にlocalhostのみを対象
$LogNames = @("Application", "System")
$EventIds = @(100, 10, 7036) # テストで生成したIDとSystemログの一般的なID

# コア監視スクリプトの実行時間を計測

Write-Host "`n--- イベントログ監視スクリプトの性能計測を開始します ---" -ForegroundColor Green
$Measurement = Measure-Command {

    # ここに上記「コード例1」のメイン処理部分を貼り付けるか、


    # スクリプトファイルを呼び出す。例: & "C:\Scripts\MonitorEventLog.ps1"


    # 本デモでは、上記の「コア実装」ブロックの処理を直接実行します。


    # (実際の運用ではスクリプトファイルをモジュール化・関数化して呼び出すのが良い)

    # 簡易的な呼び出し例 (実際のスクリプト内容に合わせて調整してください)


    # この部分に、先のコード例1のメインロジック部分をコピーして貼り付けるか、


    # 関数として定義し、その関数を呼び出してください。


    # (ここでは、実際のコード例1を想定して変数などを準備する)

    $AllEvents = [System.Collections.ArrayList]::new()
    $HostsToMonitor | ForEach-Object -Parallel {
        param($HostName)
        $Script:MaxRetryAttempts = 1 # テストでは再試行を減らす
        $Script:RetryDelaySeconds = 1
        $Script:LogNames = $using:LogNames
        $Script:EventIds = $using:EventIds
        $Script:SearchStartTime = $using:SearchStartTime
        $Script:EndTime = $using:EndTime
        $HostEvents = [System.Collections.ArrayList]::new()
        try {
            Write-Host "[$HostName] テストログ検索中..."
            $Events = Get-WinEvent -ComputerName $HostName `
                -LogName $Script:LogNames `
                -FilterXPath "*[System[(EventID=$($Script:EventIds -join ' or EventID=')) and TimeCreated[timediff(@SystemTime) <= $($Script:EndTime.Subtract($Script:SearchStartTime).TotalMilliseconds)]]]" `
                -ErrorAction Stop
            foreach ($Event in $Events) { [void]$HostEvents.Add($Event) }
            Write-Host "[$HostName] 検出イベント数: $($Events.Count)"
        } catch {
            Write-Warning "[$HostName] テストログ取得エラー: $($_.Exception.Message)"
        }
        $HostEvents | For-Each Object { $_ }
    } -ThrottleLimit 2 | ForEach-Object {
        [void]$AllEvents.Add($_)
    }

    Write-Host "`n--- 検出されたイベントの通知処理 (計測対象外) ---" -ForegroundColor Blue

    # 通知処理はパフォーマンスボトルネックになりがちなので、別途計測する


    # $AllEvents を処理するループをここに記述


    # (ここでは計測のメインから除外し、別途必要に応じて計測することを推奨)

}
Write-Host "イベントログ監視スクリプトの総実行時間: $($Measurement.TotalSeconds) 秒" -ForegroundColor Green
Write-Host "イベントログ監視スクリプトのCPU時間: $($Measurement.TotalProcessorTime.TotalSeconds) 秒" -ForegroundColor Green

# 変更した設定を元に戻す (必要に応じて)


# $HostsToMonitor = $OriginalHosts

Stop-Transcript

計測結果の解釈:

  • TotalSeconds: スクリプトの開始から終了までの実時間。

  • TotalProcessorTime: CPUがスクリプトの実行に費やした合計時間。並列処理ではTotalProcessorTimeがTotalSecondsを上回ることがあります。

  • イベントログの件数と検出イベント数に対する実行時間の比率から、スクリプトの効率を評価します。ボトルネックはGet-WinEventのフィルタリング、リモート接続のオーバーヘッド、通知処理など多岐にわたります。

運用：ログローテーション/失敗時再実行/権限

ログローテーション

Windowsイベントログ自体にはローテーション設定があります。

  1. イベントビューアーで設定: イベントビューアーを開き、対象のログ（例: Application, System）を右クリック→「プロパティ」を選択します。

  2. ログサイズとアーカイブ: 「ログの最大サイズ」を設定し、「イベントが最大ログサイズに達したときに古いイベントを上書きする (必要な場合)」または「ログをアーカイブするが、直接上書きしない」を選択します。 監視スクリプトが出力する独自のログファイル（C:\EventMonitorLogs配下など）については、WindowsのタスクスケジューラやPowerShellスクリプト（例: Get-ChildItem | Where-Object { $_.LastWriteTime -lt (Get-Date).AddDays(-30) } | Remove-Item）で定期的に古いファイルを削除する仕組みを別途構築します。

失敗時再実行

定期的バッチ監視スクリプトは、Windowsタスクスケジューラに登録して運用するのが一般的です。 タスクスケジューラでは、タスクの「設定」タブで以下のオプションを設定できます。

  • 「タスクをすぐに実行できない場合は、すぐにタスクを実行する」

  • 「タスクが失敗した場合に再起動する」：試行回数と再起動間隔を設定し、一時的なエラーからの回復を試みます。

権限

  • イベントログ読み取り: 監視スクリプトを実行するアカウントには、監視対象のイベントログ（ローカルおよびリモート）への読み取り権限が必要です。通常、Administratorsグループのメンバーであれば問題ありませんが、必要最小限の権限とする場合は、”Event Log Readers”グループに属するアカウントを使用します。

  • リモートアクセス: リモートホストのイベントログを監視する場合、WinRM（Windows Remote Management）が有効になっており、実行アカウントにリモートホストへのアクセス権限が必要です。

  • 通知: メール送信やWebHook呼び出しには、ネットワーク通信の許可と、必要な認証情報（APIキー、パスワードなど）が必要です。

落とし穴（例：PowerShell 5 vs 7の差、スレッド安全性、UTF-8問題）

PowerShell 5 vs 7の差

  • ForEach-Object -Parallel: PowerShell 7.0で導入されたため、PS 5.1では使用できません。PS 5.1で並列処理を行うには、Start-Job、ThreadJobモジュール、またはRunspaceプールを自前で実装する必要があります。

  • デフォルトエンコーディング: PowerShell 7ではデフォルトのエンコーディングがUTF-8 BOMなしになりました。これにより、異なるシステムとの連携時やファイル出力時の文字化けが減りましたが、PS 5.1との互換性を考慮する場合は-Encoding Utf8NoBOMなどを明示的に指定する必要があります。Out-FileやSet-Contentを使用する際は注意が必要です。

スレッド安全性（並列処理における注意点）

ForEach-Object -Parallelは新しいRunspaceでスクリプトブロックを実行します。各Runspaceは独立していますが、親スコープから変数を$using:キーワードで参照する場合、その変数はコピーされます。

  • 共有変数: 複数のRunspaceから同時に書き込まれる可能性のある変数（例: ログ記録用のArrayListなど）は、スレッドセーフなコレクション（例: [System.Collections.Concurrent.ConcurrentBag[object]] や [System.Collections.Concurrent.ConcurrentDictionary[string, object]]）を使用するか、並列処理の後にメインスレッドで集約する設計にする必要があります。本記事のコード例1では、$AllEventsへの追加を並列ループの外で行うことで、この問題に対応しています。

  • オブジェクトの参照: System.Management.Automation.PSObjectのようなPowerShell固有のオブジェクトは、Runspace間で直接共有すると問題が発生する場合があります。必要に応じてシリアル化・デシリアル化を検討するか、プリミティブ型や.NETのデータ型に変換して渡すのが安全です。

UTF-8問題

イベントログのメッセージには、様々な言語の文字が含まれる可能性があります。

  • ファイル出力時のエンコーディング: スクリプトのログや通知内容をファイルに出力する際は、Out-File -Encoding Utf8のように明示的にUTF-8を指定することで文字化けを防ぐことができます。特にPowerShell 5.1では注意が必要です。

  • 外部システム連携: メール本文やWebHookのペイロードとしてイベントメッセージを送信する際も、外部システムがUTF-8を正しく扱えるか確認し、必要に応じてエンコーディングを指定して送信します。

Get-WinEventのフィルタリング性能

大量のイベントログを扱う場合、Get-WinEventのフィルタリングが重要です。

  • XPathフィルタの活用: -FilterXPathオプションは、Where-Objectで後からフィルタリングするよりも効率的です。WMIレベルでフィルタリングが行われるため、必要なイベントのみがPowerShellに渡されます。複雑な条件でもXPathを積極的に利用しましょう。

  • 時間範囲の指定: -StartTime、-EndTime、またはXPath内のTimeCreatedで明確な時間範囲を指定することで、検索対象を限定し、パフォーマンスを向上させます。

安全対策（Just Enough Administration/JIT, 機密の安全な取り回し/SecretManagement）

Just Enough Administration (JEA)

イベントログ監視スクリプトは、システムの状態を把握するために多くの情報を参照することがあります。しかし、監視専用のアカウントに管理者権限を与えるのはセキュリティリスクが高いです。JEAは、特定のタスクを実行するために必要な最小限の権限のみを付与する仕組みを提供します。

  • 役割の分離: イベントログ監視専用のJEAエンドポイントを作成し、そのエンドポイントからのみGet-WinEventなどのコマンドレットを実行できるように制限します。

  • 権限の最小化: Register-PSSessionConfigurationコマンドレットと役割定義ファイル（.psrc）を用いて、監視に必要なコマンドレットとパラメーターのみを許可することで、意図しない操作を防ぎます。

機密の安全な取り回し (SecretManagement)

通知先の認証情報（例: SMTPサーバーのパスワード、WebHookのAPIキーなど）をスクリプト内に平文で記述することは避けるべきです。PowerShellのSecretManagementモジュールを使用することで、これらの機密情報を安全に管理できます。

  • シークレットストア: SecretManagementモジュールは、安全なシークレットストア（例: Windows Credential Manager）と連携し、機密情報を暗号化して保存します。

  • スクリプトからの利用: スクリプトからはGet-Secretコマンドレットで名前を指定してシークレットを取得するだけでよく、実際の値は安全に管理されます。これにより、スクリプトの可読性を保ちつつ、機密情報の漏洩リスクを低減できます。

# SecretManagement モジュールの利用例


# 事前準備:


# 1. SecretManagement モジュールと、例えば Microsoft.PowerShell.SecretStore モジュールをインストール


#    Install-Module -Name Microsoft.PowerShell.SecretManagement -Repository PSGallery -Force


#    Install-Module -Name Microsoft.PowerShell.SecretStore -Repository PSGallery -Force


# 2. シークレットストアを登録 (初回のみ)


#    Register-SecretVault -Name SecretStore -ModuleName Microsoft.PowerShell.SecretStore -DefaultVault


# 3. シークレットを保存 (対話的にパスワードなどを入力)


#    Set-Secret -Name "SmtpAdminPassword" -Secret <YourPassword> -Vault SecretStore


#    Set-Secret -Name "SlackWebhookUrl" -Secret "https://hooks.slack.com/services/..." -Vault SecretStore

# スクリプト内での利用例

try {

    # SMTPパスワードを取得

    $smtpPassword = Get-Secret -Name "SmtpAdminPassword" -AsPlainText -Vault SecretStore

    # Webhook URLを取得

    $slackWebhookUrl = Get-Secret -Name "SlackWebhookUrl" -AsPlainText -Vault SecretStore

    Write-Host "SMTPパスワード (一部): $($smtpPassword.Substring(0, 3))..."
    Write-Host "Slack Webhook URL (一部): $($slackWebhookUrl.Substring(0, 20))..."

    # これらを Send-Notification 関数内で利用する


    # $credential = New-Object System.Management.Automation.PSCredential("smtpuser", (ConvertTo-SecureString $smtpPassword -AsPlainText -Force))


    # Invoke-RestMethod -Uri $slackWebhookUrl ...

} catch {
    Write-Error "シークレットの取得に失敗しました: $($_.Exception.Message)"
    Write-Error "SecretManagementモジュールの設定を確認してください。"
}

まとめ

、PowerShellを使ったイベントログ監視と通知システムを構築するための多角的なアプローチを解説しました。Get-WinEventによる定期的バッチ監視とRegister-WmiEventによるリアルタイム監視の使い分け、ForEach-Object -Parallelを活用した並列処理による大規模環境への対応、Measure-Commandを用いた性能計測、そして堅牢なシステムを構築するためのエラーハンドリングとロギング戦略を示しました。

さらに、PowerShell 5と7の差異、スレッド安全性、UTF-8エンコーディングといった「落とし穴」を回避するための注意点、そしてJEAやSecretManagementモジュールを活用した安全な運用についても触れました。

これらの要素を組み合わせることで、システムの安定稼働に貢献する、信頼性と効率性の高いイベントログ監視システムをPowerShellで実現できるでしょう。要件に応じて、通知方法の多様化や、検出ロジックの複雑化（例: 特定のイベントが一定時間内にX回発生した場合に通知）など、さらに拡張していくことが可能です。

ライセンス：本記事のテキスト/コードは特記なき限り CC BY 4.0 です。引用の際は出典URL（本ページ）を明記してください。
利用ポリシー もご参照ください。

コメント

タイトルとURLをコピーしました