Una seguridad de código abierto y nativa de la nube para proteger todo, desde la compilación hasta el tiempo de ejecución
Proyecto de seguridad y políticas de código abierto y nativo de la nube
cnspec evalúa la seguridad y el cumplimiento de toda tu infraestructura. Detecta vulnerabilidades y configuraciones incorrectas en entornos de nube públicos y privados, clústeres de Kubernetes, contenedores, registros de contenedores, servidores, endpoints, productos SaaS, infraestructura como código, API y mucho más.
Como potente motor de políticas como código, cnspec está construido sobre el tejido de datos de seguridad de Mondoo. Viene configurado con políticas de seguridad predeterminadas que funcionan desde el primer momento. ¡Es rápido y sencillo de usar!
bash -c "$(curl -sSL https://install.mondoo.com/sh)"
cnspec scan local
Instala cnspec con nuestro script de instalación:
Linux y macOS
bash -c "$(curl -sSL https://install.mondoo.com/sh)"
Windows
Set-ExecutionPolicy Unrestricted -Scope Process -Force;
[System.Net.ServicePointManager]::SecurityProtocol = [System.Net.ServicePointManager]::SecurityProtocol -bor 3072;
iex ((New-Object System.Net.WebClient).DownloadString('https://install.mondoo.com/ps1'));
Install-Mondoo;
Si prefieres la instalación manual, puedes encontrar los paquetes de cnspec en nuestras releases.
Usa el subcomando cnspec scan para comprobar configuraciones incorrectas y vulnerabilidades en objetivos locales y remotos.
Este comando evalúa la seguridad de tu máquina local:
cnspec scan local
También puedes especificar objetivos remotos para escanear. Por ejemplo:
# to scan a docker image:
cnspec scan docker image ubuntu:22.04
# scan public ECR registry
aws ecr-public get-login-password --region us-east-1 | docker login --username AWS --password-stdin public.ecr.aws/r6z5b8t4
cnspec scan docker image public.ecr.aws/r6z5b8t4
# to scan an AWS account using the local AWS CLI config
cnspec scan aws
# scan an EC2 instance with EC2 Instance Connect
cnspec scan aws ec2 instance-connect root@i-1234567890abcdef0
# to scan a Kubernetes cluster via your local kubectl config or a local manifest file
cnspec scan k8s
cnspec scan k8s manifest.yaml
# to scan a GitHub repository
export GITHUB_TOKEN=<personal_access_token>
cnspec scan github repo <org/repo>
📚 Para obtener más información, lee la documentación de cnspec.
Las políticas de cnspec se basan en el concepto de política como código. cnspec incluye políticas de seguridad predeterminadas configuradas para todos los objetivos compatibles. Las políticas predeterminadas están disponibles en el directorio content de este repositorio.
cnspec escanea en busca de vulnerabilidades en una amplia gama de plataformas. El escaneo de vulnerabilidades no se limita a las imágenes de contenedor; también funciona para la compilación y el tiempo de ejecución.
NOTA: El escaneo de vulnerabilidades requiere que el cliente haya iniciado sesión en Mondoo Platform.
# scan container image
cnspec vuln docker debian:12
# scan aws instance via EC2 instance connect
cnspec vuln aws ec2 instance-connect root@i-1234567890abcdef0
# scan instance via SSH
cnspec vuln ssh user@host
# scan windows via SSH or Winrm
cnspec vuln ssh user@host --ask-pass
cnspec vuln winrm user@host --ask-pass
# scan VMware vSphere ESXi hosts
cnspec vuln vsphere user@host --ask-pass
# scan Linux, Windows
cnspec vuln local
| Plataforma | Versiones |
|---|---|
| Alpine | 3.10 - 3.24 |
| AlmaLinux | 8, 9, 10 |
| Amazon Linux | 1, 2, 2023 |
| Arch Linux | Rolling |
| CentOS | 6, 7, 8, Stream |
| Debian | 8, 9, 10, 11, 12, 13 |
| Fedora | 30 - 44 |
| openSUSE | Leap 15, Leap 16 |
| Oracle Linux | 6, 7, 8, 9, 10 |
| Photon Linux | 2, 3, 4, 5 |
| Red Hat Enterprise Linux | 6, 7, 8, 9, 10 |
| Rocky Linux | 8, 9, 10 |
| SUSE Linux Enterprise | 12, 15, 16 |
| Ubuntu | 18.04, 20.04, 22.04, 24.04, 26.04 |
| VMware vSphere ESXi | 6, 7, 8, 9 |
| Windows | 10, 11, 2016, 2019, 2022, 2025 |
cnspec también proporciona un shell interactivo para explorar aserciones. Te ayuda a comprender las aserciones que utilizan las políticas de seguridad, así como a escribir tus propias políticas. También es una excelente manera de interactuar sobre la marcha con objetivos tanto locales como remotos.
cnspec shell local
El shell proporciona un comando help para obtener información sobre los recursos que impulsan cnspec. Ejecutar help sin ningún argumento lista todos los recursos disponibles y sus campos. También puedes ejecutar help <resource> para obtener más detalles sobre un recurso específico. Por ejemplo:
cnspec> help ports
ports: TCP/IP ports on the system
list []port: List of all TCP/IP ports
listening []port: All listening ports
El shell utiliza autocompletado, lo que facilita la exploración.
Una vez dentro del shell, puedes introducir aserciones MQL como esta:
> ports.listening.none( port == 23 )
Para limpiar la terminal, escribe clear.
Para salir, pulsa CTRL + D o escribe exit.
La plataforma de seguridad unificada de Mondoo encuentra y prioriza las vulnerabilidades y configuraciones incorrectas que representan el mayor riesgo para tu negocio. El tejido de datos de seguridad de Mondoo analiza la amenaza y la exposición de cada hallazgo dentro del contexto único de tu infraestructura. En lugar de una avalancha de alertas de seguridad irrelevantes, Mondoo te muestra cómo puedes lograr un impacto inmediato y significativo en tu postura de seguridad.
Para comenzar, contáctanos.
Para obtener información sobre Mondoo Platform, lee la documentación de Mondoo Platform o visita mondoo.com.
Para usar cnspec con Mondoo Platform, genera un token en la aplicación de Mondoo y luego ejecuta:
cnspec login --token TOKEN
Una vez autenticado, puedes escanear cualquier objetivo:
cnspec scan <target>
cnspec devuelve los resultados del escaneo a STDOUT y a Mondoo Platform.
Con una cuenta en Mondoo Platform, puedes cargar políticas: