Una seguridad de código abierto y nativa de la nube para proteger todo, desde la compilación hasta el tiempo de ejecución
Proyecto de seguridad y políticas de código abierto, nativo de la nube
cnspec evalúa la seguridad y el cumplimiento normativo de toda tu infraestructura. Encuentra vulnerabilidades y errores de configuración en entornos de nube públicos y privados, clústeres de Kubernetes, contenedores, registros de contenedores, servidores, endpoints, productos SaaS, infraestructura como código, APIs y más.
Un potente motor de políticas como código, cnspec está construido sobre el tejido de datos de seguridad de Mondoo. Viene configurado con políticas de seguridad predeterminadas que funcionan desde el primer momento. ¡Es rápido y sencillo de usar!
bash -c "$(curl -sSL https://install.mondoo.com/sh)" cnspec scan local
## Instalación
Instala cnspec con nuestro script de instalación:
**Linux y macOS**```bash
bash -c "$(curl -sSL https://install.mondoo.com/sh)"
Windows```powershell Set-ExecutionPolicy Unrestricted -Scope Process -Force; [System.Net.ServicePointManager]::SecurityProtocol = [System.Net.ServicePointManager]::SecurityProtocol -bor 3072; iex ((New-Object System.Net.WebClient).DownloadString('https://install.mondoo.com/ps1')); Install-Mondoo;
Si prefieres la instalación manual, puedes encontrar los paquetes de cnspec en nuestras [releases](https://github.com/mondoohq/cnspec/releases).
## Ejecutar un escaneo con políticas
Usa el subcomando `cnspec scan` para comprobar objetivos locales y remotos en busca de configuraciones incorrectas y vulnerabilidades.
### Escaneo local
Este comando evalúa la seguridad de tu máquina local:```bash
cnspec scan local
También puedes especificar objetivos remotos para escanear. Por ejemplo:```bash
cnspec scan docker image ubuntu:22.04
aws ecr-public get-login-password --region us-east-1 | docker login --username AWS --password-stdin public.ecr.aws/r6z5b8t4 cnspec scan docker image public.ecr.aws/r6z5b8t4
cnspec scan aws
cnspec scan aws ec2 instance-connect root@i-1234567890abcdef0
cnspec scan k8s cnspec scan k8s manifest.yaml
export GITHUB_TOKEN=<personal_access_token> cnspec scan github repo <org/repo>
[:books: Para obtener más información, lee la documentación de cnspec.](https://mondoo.com/docs/cnspec)
### Políticas
Las políticas de cnspec se basan en el concepto de política como código. cnspec incluye políticas de seguridad predeterminadas configuradas para todos los objetivos compatibles. Las políticas predeterminadas están disponibles en el directorio `content` de este repositorio.
## Escaneo de vulnerabilidades
cnspec escanea en busca de vulnerabilidades en una amplia gama de plataformas. El escaneo de vulnerabilidades no se limita a las imágenes de contenedores; también funciona para la compilación y el tiempo de ejecución.
NOTA: El escaneo de vulnerabilidades requiere que el cliente haya iniciado sesión en Mondoo Platform.
### Ejemplos```bash
# scan container image
cnspec vuln docker debian:12
# scan aws instance via EC2 instance connect
cnspec vuln aws ec2 instance-connect root@i-1234567890abcdef0
# scan instance via SSH
cnspec vuln ssh user@host
# scan windows via SSH or Winrm
cnspec vuln ssh user@host --ask-pass
cnspec vuln winrm user@host --ask-pass
# scan VMware vSphere ESXi hosts
cnspec vuln vsphere user@host --ask-pass
# scan Linux, Windows
cnspec vuln local
| Plataforma | Versiones |
|---|---|
| Alpine | 3.10 - 3.24 |
| AlmaLinux | 8, 9, 10 |
| Amazon Linux | 1, 2, 2023 |
| Arch Linux | Rolling |
| CentOS | 6, 7, 8, Stream |
| Debian | 8, 9, 10, 11, 12, 13 |
| Fedora | 30 - 44 |
| openSUSE | Leap 15, Leap 16 |
| Oracle Linux | 6, 7, 8, 9, 10 |
| Photon Linux | 2, 3, 4, 5 |
| Red Hat Enterprise Linux | 6, 7, 8, 9, 10 |
| Rocky Linux | 8, 9, 10 |
| SUSE Linux Enterprise | 12, 15, 16 |
| Ubuntu | 18.04, 20.04, 22.04, 24.04, 26.04 |
| VMware vSphere ESXi | 6, 7, 8, 9 |
| Windows | 10, 11, 2016, 2019, 2022, 2025 |
cnspec también proporciona un shell interactivo para explorar aserciones. Te ayuda a comprender las aserciones que utilizan las políticas de seguridad, así como a escribir tus propias políticas. También es una excelente manera de interactuar con objetivos tanto locales como remotos sobre la marcha.
cnspec shell local
El shell proporciona un comando `help` para obtener información sobre los recursos que impulsan cnspec. Ejecutar `help` sin ningún argumento lista todos los recursos disponibles y sus campos. También puedes ejecutar `help <resource>` para obtener más detalles sobre un recurso específico. Por ejemplo:```bash
cnspec> help ports
ports: TCP/IP ports on the system
list []port: List of all TCP/IP ports
listening []port: All listening ports
El shell utiliza autocompletado, lo que facilita su exploración.
Una vez dentro del shell, puedes introducir aserciones MQL como esta:```coffeescript
ports.listening.none( port == 23 )
Para limpiar la terminal, escribe `clear`.
Para salir, presiona CTRL + D o escribe `exit`.
## Prioriza los riesgos que importan con Mondoo Platform
La plataforma de seguridad unificada de Mondoo encuentra y prioriza vulnerabilidades y configuraciones incorrectas que representan el mayor riesgo para tu negocio. El tejido de datos de seguridad de Mondoo analiza la amenaza y la exposición de cada hallazgo dentro del contexto único de tu infraestructura. En lugar de una avalancha de alertas de seguridad irrelevantes, Mondoo te muestra cómo puedes lograr un impacto inmediato y significativo en tu postura de seguridad.
Para comenzar, [contáctanos](https://mondoo.com/contact).
Para obtener más información sobre Mondoo Platform, lee la [documentación de Mondoo Platform](https://mondoo.com/docs) o visita [mondoo.com](https://mondoo.com).
### Registra cnspec con Mondoo Platform
Para usar cnspec con Mondoo Platform, [genera un token en la aplicación de Mondoo](https://mondoo.com/docs/cnspec/install/registration) y luego ejecuta:```bash
cnspec login --token TOKEN
Una vez autenticado, puedes escanear cualquier objetivo:```bash cnspec scan
cnspec devuelve los resultados del escaneo a `STDOUT` y a Mondoo Platform.