mondoohq/cnspecEine quelloffene, cloud-native Sicherheitslösung zum Schutz von allem vom Build bis zur Laufzeit
Open-Source-Projekt für cloudnative Sicherheit und Richtlinien
cnspec bewertet die Sicherheit und Compliance Ihrer gesamten Infrastruktur. Es findet Schwachstellen und Fehlkonfigurationen in öffentlichen und privaten Cloud-Umgebungen, Kubernetes-Clustern, Containern, Container-Registries, Servern, Endpunkten, SaaS-Produkten, Infrastructure as Code, APIs und mehr.
cnspec ist eine leistungsstarke Policy-as-Code-Engine, die auf Mondoo's Security Data Fabric aufbaut. Sie ist mit Standard-Sicherheitsrichtlinien vorkonfiguriert, die sofort einsatzbereit sind. Sie ist sowohl schnell als auch einfach zu bedienen!
bash -c "$(curl -sSL https://install.mondoo.com/sh)"
cnspec scan local
Installiere cnspec mit unserem Installationsskript:
Linux und macOS
bash -c "$(curl -sSL https://install.mondoo.com/sh)"
Windows
Set-ExecutionPolicy Unrestricted -Scope Process -Force;
[System.Net.ServicePointManager]::SecurityProtocol = [System.Net.ServicePointManager]::SecurityProtocol -bor 3072;
iex ((New-Object System.Net.WebClient).DownloadString('https://install.mondoo.com/ps1'));
Install-Mondoo;
Wenn Sie die manuelle Installation bevorzugen, finden Sie die cnspec-Pakete in unseren Releases.
Verwenden Sie den Unterbefehl cnspec scan, um lokale und entfernte Ziele auf Fehlkonfigurationen und Schwachstellen zu prüfen.
Dieser Befehl bewertet die Sicherheit Ihres lokalen Rechners:
cnspec scan local
Sie können auch Remote-Ziele zum Scannen angeben. Zum Beispiel:
# to scan a docker image:
cnspec scan docker image ubuntu:22.04
# scan public ECR registry
aws ecr-public get-login-password --region us-east-1 | docker login --username AWS --password-stdin public.ecr.aws/r6z5b8t4
cnspec scan docker image public.ecr.aws/r6z5b8t4
# to scan an AWS account using the local AWS CLI config
cnspec scan aws
# scan an EC2 instance with EC2 Instance Connect
cnspec scan aws ec2 instance-connect root@i-1234567890abcdef0
# to scan a Kubernetes cluster via your local kubectl config or a local manifest file
cnspec scan k8s
cnspec scan k8s manifest.yaml
# to scan a GitHub repository
export GITHUB_TOKEN=<personal_access_token>
cnspec scan github repo <org/repo>
📚 Um mehr zu erfahren, lies die cnspec-Dokumentation.
cnspec-Richtlinien basieren auf dem Konzept von Policy as Code. cnspec wird mit Standard-Sicherheitsrichtlinien ausgeliefert, die für alle unterstützten Ziele konfiguriert sind. Die Standardrichtlinien sind im Verzeichnis content dieses Repositorys verfügbar.
cnspec scannt eine Vielzahl von Plattformen auf Schwachstellen. Das Scannen auf Schwachstellen ist nicht auf Container-Images beschränkt; es funktioniert auch für Build und Laufzeit.
HINWEIS: Das Scannen auf Schwachstellen erfordert, dass der Client bei der Mondoo Platform angemeldet ist.
# scan container image
cnspec vuln docker debian:12
# scan aws instance via EC2 instance connect
cnspec vuln aws ec2 instance-connect root@i-1234567890abcdef0
# scan instance via SSH
cnspec vuln ssh user@host
# scan windows via SSH or Winrm
cnspec vuln ssh user@host --ask-pass
cnspec vuln winrm user@host --ask-pass
# scan VMware vSphere ESXi hosts
cnspec vuln vsphere user@host --ask-pass
# scan Linux, Windows
cnspec vuln local
| Plattform | Versionen |
|---|---|
| Alpine | 3.10 - 3.24 |
| AlmaLinux | 8, 9, 10 |
| Amazon Linux | 1, 2, 2023 |
| Arch Linux | Rolling |
| CentOS | 6, 7, 8, Stream |
| Debian | 8, 9, 10, 11, 12, 13 |
| Fedora | 30 - 44 |
| openSUSE | Leap 15, Leap 16 |
| Oracle Linux | 6, 7, 8, 9, 10 |
| Photon Linux | 2, 3, 4, 5 |
| Red Hat Enterprise Linux | 6, 7, 8, 9, 10 |
| Rocky Linux | 8, 9, 10 |
| SUSE Linux Enterprise | 12, 15, 16 |
| Ubuntu | 18.04, 20.04, 22.04, 24.04, 26.04 |
| VMware vSphere ESXi | 6, 7, 8, 9 |
| Windows | 10, 11, 2016, 2019, 2022, 2025 |
cnspec bietet außerdem eine interaktive Shell zum Erkunden von Assertions. Sie hilft Ihnen, die Assertions zu verstehen, die Sicherheitsrichtlinien verwenden, und eigene Richtlinien zu schreiben. Außerdem ist sie eine großartige Möglichkeit, spontan mit lokalen und entfernten Zielen zu interagieren.
cnspec shell local
Die Shell bietet einen help-Befehl für Informationen zu den Ressourcen, die cnspec antreiben. Wenn Sie help ohne Argumente ausführen, werden alle verfügbaren Ressourcen und ihre Felder aufgelistet. Sie können auch help <resource> ausführen, um weitere Details zu einer bestimmten Ressource zu erhalten. Zum Beispiel:
cnspec> help ports
ports: TCP/IP ports on the system
list []port: List of all TCP/IP ports
listening []port: All listening ports
Die Shell verwendet Auto-Vervollständigung, was die Erkundung erleichtert.
Sobald Sie sich in der Shell befinden, können Sie MQL-Assertions wie folgt eingeben:
> ports.listening.none( port == 23 )
Um das Terminal zu leeren, geben Sie clear ein.
Um es zu beenden, drücken Sie entweder STRG + D oder geben Sie exit ein.
Die einheitliche Sicherheitsplattform von Mondoo findet und priorisiert Schwachstellen und Fehlkonfigurationen, die das höchste Risiko für Ihr Unternehmen darstellen. Der Security Data Fabric von Mondoo analysiert die Bedrohung und Exposition jedes Befunds im einzigartigen Kontext Ihrer Infrastruktur. Statt einer Flut irrelevanter Sicherheitswarnungen zeigt Ihnen Mondoo, wie Sie unmittelbar und spürbar Ihre Sicherheitslage verbessern können.
Um zu beginnen, kontaktieren Sie uns.
Um mehr über die Mondoo Platform zu erfahren, lesen Sie die Mondoo Platform-Dokumentation oder besuchen Sie mondoo.com.
Um cnspec mit der Mondoo Platform zu verwenden, generieren Sie ein Token in der Mondoo App und führen Sie dann aus:
cnspec login --token TOKEN
Sobald Sie authentifiziert sind, können Sie jedes Ziel scannen:
cnspec scan <target>
cnspec gibt die Ergebnisse des Scans an STDOUT und an die Mondoo Platform zurück.