mondoohq/cnspecEine quelloffene, cloud-native Sicherheitslösung zum Schutz von allem vom Build bis zur Laufzeit
Open-Source-Projekt für cloud-native Sicherheit und Richtlinien
cnspec bewertet die Sicherheit und Compliance Ihrer gesamten Infrastruktur. Es findet Schwachstellen und Fehlkonfigurationen in öffentlichen und privaten Cloud-Umgebungen, Kubernetes-Clustern, Containern, Container-Registries, Servern, Endpunkten, SaaS-Produkten, Infrastructure as Code, APIs und mehr.
Als leistungsstarke Policy-as-Code-Engine basiert cnspec auf dem Security Data Fabric von Mondoo. Es ist mit Standard-Sicherheitsrichtlinien vorkonfiguriert, die sofort einsatzbereit sind. Es ist sowohl schnell als auch einfach zu bedienen!
bash -c "$(curl -sSL https://install.mondoo.com/sh)" cnspec scan local
## Installation
Installiere cnspec mit unserem Installationsskript:
**Linux und macOS**```bash
bash -c "$(curl -sSL https://install.mondoo.com/sh)"
Windows```powershell Set-ExecutionPolicy Unrestricted -Scope Process -Force; [System.Net.ServicePointManager]::SecurityProtocol = [System.Net.ServicePointManager]::SecurityProtocol -bor 3072; iex ((New-Object System.Net.WebClient).DownloadString('https://install.mondoo.com/ps1')); Install-Mondoo;
Wenn Sie die manuelle Installation bevorzugen, finden Sie die cnspec-Pakete in unseren [releases](https://github.com/mondoohq/cnspec/releases).
## Einen Scan mit Richtlinien ausführen
Verwenden Sie den Unterbefehl `cnspec scan`, um lokale und entfernte Ziele auf Fehlkonfigurationen und Schwachstellen zu überprüfen.
### Lokaler Scan
Dieser Befehl bewertet die Sicherheit Ihres lokalen Rechners:```bash
cnspec scan local
Sie können auch Remote-Ziele zum Scannen angeben. Zum Beispiel:```bash
cnspec scan docker image ubuntu:22.04
aws ecr-public get-login-password --region us-east-1 | docker login --username AWS --password-stdin public.ecr.aws/r6z5b8t4 cnspec scan docker image public.ecr.aws/r6z5b8t4
cnspec scan aws
cnspec scan aws ec2 instance-connect root@i-1234567890abcdef0
cnspec scan k8s cnspec scan k8s manifest.yaml
export GITHUB_TOKEN=<personal_access_token> cnspec scan github repo <org/repo>
[:books: Um mehr zu erfahren, lies die cnspec-Dokumentation.](https://mondoo.com/docs/cnspec)
### Richtlinien
cnspec-Richtlinien basieren auf dem Konzept von Policy as Code. cnspec wird mit Standard-Sicherheitsrichtlinien geliefert, die für alle unterstützten Ziele konfiguriert sind. Die Standardrichtlinien sind im Verzeichnis `content` dieses Repositorys verfügbar.
## Schwachstellen-Scan
cnspec scannt auf Schwachstellen in einer Vielzahl von Plattformen. Das Scannen auf Schwachstellen ist nicht auf Container-Images beschränkt; es funktioniert auch für Build und Runtime.
HINWEIS: Das Scannen auf Schwachstellen erfordert, dass der Client bei der Mondoo Platform angemeldet ist.
### Beispiele```bash
# scan container image
cnspec vuln docker debian:12
# scan aws instance via EC2 instance connect
cnspec vuln aws ec2 instance-connect root@i-1234567890abcdef0
# scan instance via SSH
cnspec vuln ssh user@host
# scan windows via SSH or Winrm
cnspec vuln ssh user@host --ask-pass
cnspec vuln winrm user@host --ask-pass
# scan VMware vSphere ESXi hosts
cnspec vuln vsphere user@host --ask-pass
# scan Linux, Windows
cnspec vuln local
| Plattform | Versionen |
|---|---|
| Alpine | 3.10 - 3.24 |
| AlmaLinux | 8, 9, 10 |
| Amazon Linux | 1, 2, 2023 |
| Arch Linux | Rolling |
| CentOS | 6, 7, 8, Stream |
| Debian | 8, 9, 10, 11, 12, 13 |
| Fedora | 30 - 44 |
| openSUSE | Leap 15, Leap 16 |
| Oracle Linux | 6, 7, 8, 9, 10 |
| Photon Linux | 2, 3, 4, 5 |
| Red Hat Enterprise Linux | 6, 7, 8, 9, 10 |
| Rocky Linux | 8, 9, 10 |
| SUSE Linux Enterprise | 12, 15, 16 |
| Ubuntu | 18.04, 20.04, 22.04, 24.04, 26.04 |
| VMware vSphere ESXi | 6, 7, 8, 9 |
| Windows | 10, 11, 2016, 2019, 2022, 2025 |
cnspec bietet auch eine interaktive Shell zum Erkunden von Assertions. Sie hilft Ihnen, die Assertions zu verstehen, die Sicherheitsrichtlinien verwenden, sowie Ihre eigenen Richtlinien zu schreiben. Sie ist auch eine großartige Möglichkeit, spontan mit lokalen und entfernten Zielen zu interagieren.
cnspec shell local
Die Shell bietet einen `help`-Befehl für Informationen zu den Ressourcen, die cnspec antreiben. Wenn `help` ohne Argumente ausgeführt wird, werden alle verfügbaren Ressourcen und ihre Felder aufgelistet. Sie können auch `help <resource>` ausführen, um weitere Details zu einer bestimmten Ressource zu erhalten. Zum Beispiel:```bash
cnspec> help ports
ports: TCP/IP ports on the system
list []port: List of all TCP/IP ports
listening []port: All listening ports
Die Shell verwendet Auto-Vervollständigung, was die Erkundung erleichtert.
Sobald Sie sich in der Shell befinden, können Sie MQL-Assertions wie folgt eingeben:```coffeescript
ports.listening.none( port == 23 )
Um das Terminal zu leeren, gib `clear` ein.
Zum Beenden drücke entweder STRG + D oder gib `exit` ein.
## Priorisiere Risiken, die zählen, mit der Mondoo Platform
Die einheitliche Sicherheitsplattform von Mondoo findet und priorisiert Schwachstellen und Fehlkonfigurationen, die das höchste Risiko für dein Unternehmen darstellen. Der Security Data Fabric von Mondoo analysiert die Bedrohung und Exposition jedes Befunds im einzigartigen Kontext deiner Infrastruktur. Statt einer Flut irrelevanter Sicherheitswarnungen zeigt dir Mondoo, wie du unmittelbar und erheblich auf deine Sicherheitslage einwirken kannst.
Um zu starten, [kontaktiere uns](https://mondoo.com/contact).
Um mehr über die Mondoo Platform zu erfahren, lies die [Mondoo Platform Docs](https://mondoo.com/docs) oder besuche [mondoo.com](https://mondoo.com).
### Registriere cnspec bei der Mondoo Platform
Um cnspec mit der Mondoo Platform zu verwenden, [generiere ein Token in der Mondoo App](https://mondoo.com/docs/cnspec/install/registration) und führe dann aus:```bash
cnspec login --token TOKEN
Sobald Sie authentifiziert sind, können Sie jedes Ziel scannen:```bash cnspec scan
cnspec gibt die Ergebnisse des Scans an `STDOUT` und an die Mondoo Platform zurück.
Mit einem Konto auf der Mondoo Platform können Sie Richtlinien hochladen:```bash
cnspec bundle upload mypolicy.mql.yaml