<#
.SYNOPSIS
    複数のログ名またはリモートホストからイベントログを並列で収集します。
.DESCRIPTION
    このスクリプトは、Windowsイベントログから特定のイベントID（例: 4625 - ログオン失敗）を
    FilterHashtable を用いて効率的に収集し、ForEach-Object -Parallel で並列処理します。
    結果はJSON形式の構造化ログとして出力され、処理性能も計測します。
.PARAMETER LogNames
    監視対象のイベントログ名。配列で複数指定可能（例: 'Security', 'System'）。
.PARAMETER RemoteHosts
    監視対象のリモートホスト名またはIPアドレス。配列で複数指定可能。
    このパラメータを指定する場合、Invoke-Command でリモート実行されます。
.PARAMETER TargetEventId
    収集するイベントログのイベントID。
.PARAMETER TimeRangeHours
    過去何時間以内のイベントを収集するか。デフォルトは1時間。
.PARAMETER OutputDirectory
    構造化ログの出力先ディレクトリ。デフォルトはカレントディレクトリ。
.EXAMPLE

    # ローカルのセキュリティログから過去1時間以内のイベントID 4625を収集

    .\Monitor-EventLogParallel.ps1 -LogNames 'Security' -TargetEventId 4625

    # ローカルのセキュリティログとシステムログから過去30分以内のイベントID 4625を収集

    .\Monitor-EventLogParallel.ps1 -LogNames 'Security', 'System' -TargetEventId 4625 -TimeRangeHours 0.5

    # リモートホスト 'Server01', 'Server02' のセキュリティログからイベントID 4625を収集


    # 前提: リモートホストへのPowerShellリモート処理（WinRM）が有効であること

    .\Monitor-EventLogParallel.ps1 -RemoteHosts 'Server01', 'Server02' -LogNames 'Security' -TargetEventId 4625

.NOTES
    PowerShell 7.x 以降で ForEach-Object -Parallel が利用可能です。
    PowerShell 5.1 で利用する場合は、カスタムRunspaceプールを実装するか、Start-ThreadJob モジュールをインストールする必要があります。
    リモートホスト監視の場合、適切なCredential（Get-Credential）を指定しないとアクセスエラーになる可能性があります。
    エラーハンドリングと再試行ロジックが含まれています。
#>

param(
    [string[]]$LogNames = @('Security'),
    [string[]]$RemoteHosts = @($env:COMPUTERNAME), # デフォルトはローカルホスト
    [int]$TargetEventId = 4625, # 例: ログオン失敗
    [double]$TimeRangeHours = 1, # 過去1時間以内のイベントを対象
    [string]$OutputDirectory = (Join-Path $PSScriptRoot "Logs")
)

# --- 実行前提 ---


# 1. PowerShell 7.x 以降がインストールされていること。


# 2. ログ収集対象のホストでイベントログ読み取り権限が付与されていること。


# 3. リモートホストを監視する場合、そのホストでWinRMが有効であり、スクリプト実行ユーザーにリモートアクセス権限があること。

$ErrorActionPreference = 'Stop' # 致命的でないエラーも停止エラーに変換

# 出力ディレクトリの作成

if (-not (Test-Path $OutputDirectory)) {
    New-Item -Path $OutputDirectory -ItemType Directory | Out-Null
}

# ログファイルパス

$logFilePath = Join-Path $OutputDirectory "EventLog_Monitoring_$(Get-Date -Format 'yyyyMMddHHmmss').json"
$errorLogFilePath = Join-Path $OutputDirectory "EventLog_Error_$(Get-Date -Format 'yyyyMMddHHmmss').log"

# トランスクリプトロギングの開始 (オプション: スクリプト全体のコンソール出力を記録)


# Start-Transcript -Path (Join-Path $OutputDirectory "Transcript_$(Get-Date -Format 'yyyyMMddHHmmss').log") -Append -Force

Write-Host "イベントログ監視を開始します... (対象イベントID: $TargetEventId, 過去$TimeRangeHours 時間以内)"
Write-Host "出力ファイル: $logFilePath"
Write-Host "エラーログファイル: $errorLogFilePath"

$startTime = (Get-Date).AddHours(-$TimeRangeHours)

$allTargets = @()
foreach ($logName in $LogNames) {
    foreach ($hostName in $RemoteHosts) {
        $allTargets += [pscustomobject]@{
            LogName = $logName
            HostName = $hostName
        }
    }
}

$processedEvents = [System.Collections.Concurrent.ConcurrentBag[object]]::new()
$processedErrors = [System.Collections.Concurrent.ConcurrentBag[string]]::new()

$scriptBlock = {
    param($target, $startTime, $targetEventId, $errorLogFilePath)

    $logName = $target.LogName
    $hostName = $target.HostName
    $maxRetries = 3
    $retryDelaySeconds = 5
    $retryCount = 0

    $filter = @{
        LogName = $logName
        StartTime = $startTime
        Id = $targetEventId
    }

    $events = $null
    while ($retryCount -lt $maxRetries) {
        try {
            if ($hostName -eq $env:COMPUTERNAME) {

                # ローカルホストの場合

                $events = Get-WinEvent -FilterHashtable $filter -ErrorAction Stop
            } else {

                # リモートホストの場合

                $remoteScriptBlock = {
                    param($remoteFilter)
                    Get-WinEvent -FilterHashtable $remoteFilter -ErrorAction Stop
                }
                $events = Invoke-Command -ComputerName $hostName -ScriptBlock $remoteScriptBlock -ArgumentList $filter -ErrorAction Stop
            }
            break # 成功したらループを抜ける
        }
        catch {
            $errorMessage = "[$(Get-Date -Format 'yyyy-MM-dd HH:mm:ss JST')] Error processing $logName on $hostName (Retry $(($retryCount + 1))/$maxRetries): $($_.Exception.Message)"
            Add-Content -Path $errorLogFilePath -Value $errorMessage
            $script:processedErrors.Add($errorMessage) # 親スコープのConcurrentBagに追加
            Write-Warning $errorMessage
            $retryCount++
            if ($retryCount -lt $maxRetries) {
                Start-Sleep -Seconds $retryDelaySeconds
            }
        }
    }

    if ($events) {
        foreach ($event in $events) {

            # 必要なプロパティのみを抽出して整形

            $eventData = [pscustomobject]@{
                Timestamp = $event.TimeCreated.ToString("yyyy-MM-dd HH:mm:ss JST")
                LogName = $event.LogName
                MachineName = $event.MachineName
                Id = $event.Id
                LevelDisplayName = $event.LevelDisplayName
                ProviderName = $event.ProviderName
                Message = $event.Message -replace '\r?\n|\r', ' ' # 改行を削除して1行にする
                HostName = $hostName # どのホストから取得したか明示
            }
            $script:processedEvents.Add($eventData) # 親スコープのConcurrentBagに追加
        }
    }
}

$totalExecutionTime = Measure-Command {
    $allTargets | ForEach-Object -Parallel -ThrottleLimit 5 -ScriptBlock $scriptBlock -ArgumentList $startTime, $TargetEventId, $errorLogFilePath
}

# 結果の出力

$processedEvents | ConvertTo-Json -Depth 5 | Set-Content -Path $logFilePath -Encoding Utf8

Write-Host "`n--- 処理完了 ---"
Write-Host "処理時間: $($totalExecutionTime.TotalSeconds) 秒"
Write-Host "収集イベント数: $($processedEvents.Count)"
Write-Host "エラー数: $($processedErrors.Count)"
Write-Host "詳細ログ: $logFilePath"
if ($processedErrors.Count -gt 0) {
    Write-Host "エラーログ: $errorLogFilePath"
}

# Stop-Transcript # トランスクリプトロギングの停止

<#
.SYNOPSIS
    WMIイベントサブスクリプションを用いてリアルタイムでイベントログを監視します。
.DESCRIPTION
    Systemログの「エラー」レベルのイベントをWMIで監視し、イベント発生時に指定されたアクションを実行します。
    スクリプトはUnregister-Eventでイベントサブスクリプションを解除するまで実行され続けます。
.PARAMETER LogName
    監視対象のイベントログ名。デフォルトは 'System'。
.PARAMETER EventLevel
    監視対象のイベントレベル。デフォルトは 'Error'。
    Win32_NTLogEventのEventTypeプロパティに対応する数値で指定することも可能です。

    - 1: Success Audit, 2: Failure Audit, 3: Information, 4: Warning, 5: Error
.PARAMETER OutputFilePath
    リアルタイムイベント情報を記録するファイルパス。デフォルトはカレントディレクトリの 'RealtimeEventLog.log'。
.EXAMPLE

    # システムログのエラーイベントをリアルタイム監視

    .\Monitor-RealtimeEventLog.ps1

    # セキュリティログのログオン失敗（イベントID 4625）をリアルタイム監視


    # Win32_NTLogEvent クラスではメッセージベースのフィルタリングが難しい場合があるので、Idを指定する。


    # EventType 5 は Error に相当するが、Idフィルタリングと組み合わせる方が確実。


    # この例はセキュリティログの全イベントを購読し、Actionブロック内でフィルタリングする。


    # より高度なWQLフィルタリングが必要。

    $wql = "SELECT * FROM __InstanceCreationEvent WITHIN 5 WHERE TargetInstance ISA 'Win32_NTLogEvent' AND TargetInstance.LogFile = 'Security' AND TargetInstance.EventCode = 4625"
    Register-WmiEvent -Query $wql -SourceIdentifier "SecurityLogonFailed" -Action {
        $eventData = $Event.NewEvent.TargetInstance
        Write-Host "ログオン失敗検出: $($eventData.TimeWritten) - $($eventData.Message)"
        Add-Content -Path "C:\temp\SecurityLogonFailures.log" -Value "ログオン失敗: $($eventData.TimeWritten) - $($eventData.Message)"
    }

    # 後で Unregister-Event -SourceIdentifier "SecurityLogonFailed" で解除

.NOTES
    スクリプトの実行を停止するには、Ctrl+Cを押すか、別のPowerShellセッションで Unregister-Event -SourceIdentifier "RealtimeEventMonitor" を実行します。
    WMIイベントクエリ（WQL）は非常に強力ですが、複雑になる場合があります。
    eventTypeをWQLで直接フィルタリングする際は、EventType番号を使用してください。
#>

param(
    [string]$LogName = 'System',
    [string]$EventLevel = 'Error', # Win32_NTLogEventのEventType: 1=Success Audit, 2=Failure Audit, 3=Information, 4=Warning, 5=Error
    [string]$OutputFilePath = (Join-Path $PSScriptRoot "RealtimeEventLog_$(Get-Date -Format 'yyyyMMddHHmmss').log")
)

# --- 実行前提 ---


# 1. ローカルシステムでWMIサービスが動作していること。


# 2. スクリプト実行ユーザーにイベントログ読み取り権限とWMIイベント登録権限があること。

Write-Host "リアルタイムイベントログ監視を開始します... (対象ログ: $LogName, レベル: $EventLevel)"
Write-Host "イベントは $OutputFilePath に記録されます。"
Write-Host "監視を停止するには Ctrl+C を押すか、Unregister-Event -SourceIdentifier 'RealtimeEventMonitor' を実行してください。"

$eventLevelMap = @{
    'Success Audit' = 1
    'Failure Audit' = 2
    'Information' = 3
    'Warning' = 4
    'Error' = 5
}

$numericEventLevel = $eventLevelMap[$EventLevel]
if (-not $numericEventLevel) {
    try {
        $numericEventLevel = [int]$EventLevel
    } catch {
        Write-Warning "指定されたイベントレベル '$EventLevel' は認識できません。数値として解釈を試みます。"
        Write-Warning "有効なレベル: Success Audit, Failure Audit, Information, Warning, Error (または対応する数値 1-5)"
        return
    }
}

# WQLクエリ


# __InstanceCreationEvent は新しいインスタンスの作成を監視


# WITHIN 5 は5秒ごとにポーリングして変更を確認する


# TargetInstance ISA 'Win32_NTLogEvent' は対象がイベントログエントリであることを指定


# TargetInstance.LogFile = '$LogName' で特定のログファイルを指定


# TargetInstance.EventType = $numericEventLevel でイベントレベルを指定

$wqlQuery = "SELECT * FROM __InstanceCreationEvent WITHIN 5 WHERE TargetInstance ISA 'Win32_NTLogEvent' AND TargetInstance.LogFile = '$LogName' AND TargetInstance.EventType = $numericEventLevel"

try {
    Register-WmiEvent -Query $wqlQuery -SourceIdentifier "RealtimeEventMonitor" -Action {
        param($event)
        $newEvent = $event.NewEvent.TargetInstance
        $timestamp = $newEvent.TimeGenerated.ToString("yyyy-MM-dd HH:mm:ss JST")
        $logMessage = "[{$timestamp}] $($newEvent.ComputerName) - $($newEvent.LogFile) - $($newEvent.EventType) - ID: $($newEvent.EventCode) - Source: $($newEvent.SourceName) - Message: $($newEvent.Message)"

        Write-Host $logMessage
        Add-Content -Path $OutputFilePath -Value $logMessage -Encoding Utf8
    }

    # スクリプトを継続的に実行し、イベントを待機


    # Unregister-Event が別のセッションから実行されるか、Ctrl+Cが押されるまで待機

    while ($true) {
        Start-Sleep -Seconds 60 # 無限ループでCPUを消費しないよう適度にスリープ
    }
}
catch {
    Write-Error "WMIイベントサブスクリプションの登録中にエラーが発生しました: $($_.Exception.Message)"
}
finally {

    # スクリプトが終了する際にイベントサブスクリプションを解除

    if (Get-EventSubscriber -SourceIdentifier "RealtimeEventMonitor" -ErrorAction SilentlyContinue) {
        Unregister-Event -SourceIdentifier "RealtimeEventMonitor"
        Write-Host "WMIイベントサブスクリプション 'RealtimeEventMonitor' を解除しました。"
    }
}

# SecretManagement モジュールのインストールと設定例 (実行には管理者権限が必要)


# Install-Module -Name Microsoft.PowerShell.SecretManagement -Repository PSGallery -Force


# Install-Module -Name Microsoft.PowerShell.SecretStore -Repository PSGallery -Force # ローカル用ボールト


# Set-SecretStoreConfiguration -Scope CurrentUser -AuthenticationType Password -Password (Read-Host -AsSecureString "パスワードを入力してください")

# シークレットの登録例


# Register-SecretVault -Name SecretStore -ModuleName Microsoft.PowerShell.SecretStore


# Set-Secret -Name "RemoteAdminCredential" -SecureString (Get-Credential).Password -Vault SecretStore -Description "リモート管理用パスワード"


# Set-Secret -Name "RemoteAdminUser" -Secret "YourRemoteUser" -Vault SecretStore -Description "リモート管理用ユーザー名"

# スクリプト内での利用例 (上記コード例1のリモート接続部分で利用可能)


# $remoteUsername = (Get-Secret -Name "RemoteAdminUser" -Vault SecretStore).Secret


# $remotePassword = Get-Secret -Name "RemoteAdminCredential" -AsSecureString -Vault SecretStore


# $remoteCredential = New-Object System.Management.Automation.PSCredential($remoteUsername, $remotePassword)


# Invoke-Command -ComputerName $hostName -Credential $remoteCredential -ScriptBlock $remoteScriptBlock -ArgumentList $filter -ErrorAction Stop