mondoohq/cnspecUne sécurité open source et cloud-native pour protéger tout, de la compilation à l'exécution
Projet de sécurité et de politiques open source, cloud-native
cnspec évalue la sécurité et la conformité de l'ensemble de votre infrastructure. Il détecte les vulnérabilités et les erreurs de configuration dans les environnements cloud publics et privés, les clusters Kubernetes, les conteneurs, les registres de conteneurs, les serveurs, les points de terminaison, les produits SaaS, l'infrastructure as code, les API, et bien plus encore.
Moteur puissant de politiques as code, cnspec est bâti sur la structure de données de sécurité de Mondoo. Il est livré avec des politiques de sécurité par défaut qui fonctionnent immédiatement. Il est à la fois rapide et simple à utiliser !
bash -c "$(curl -sSL https://install.mondoo.com/sh)"
cnspec scan local
Installez cnspec avec notre script d'installation :
Linux et macOS
bash -c "$(curl -sSL https://install.mondoo.com/sh)"
Windows
Set-ExecutionPolicy Unrestricted -Scope Process -Force;
[System.Net.ServicePointManager]::SecurityProtocol = [System.Net.ServicePointManager]::SecurityProtocol -bor 3072;
iex ((New-Object System.Net.WebClient).DownloadString('https://install.mondoo.com/ps1'));
Install-Mondoo;
Si vous préférez une installation manuelle, vous pouvez trouver les paquets cnspec dans nos releases.
Utilisez la sous-commande cnspec scan pour vérifier les cibles locales et distantes à la recherche de mauvaises configurations et de vulnérabilités.
Cette commande évalue la sécurité de votre machine locale :
cnspec scan local
Vous pouvez également spécifier des cibles distantes à scanner. Par exemple :
# to scan a docker image:
cnspec scan docker image ubuntu:22.04
# scan public ECR registry
aws ecr-public get-login-password --region us-east-1 | docker login --username AWS --password-stdin public.ecr.aws/r6z5b8t4
cnspec scan docker image public.ecr.aws/r6z5b8t4
# to scan an AWS account using the local AWS CLI config
cnspec scan aws
# scan an EC2 instance with EC2 Instance Connect
cnspec scan aws ec2 instance-connect root@i-1234567890abcdef0
# to scan a Kubernetes cluster via your local kubectl config or a local manifest file
cnspec scan k8s
cnspec scan k8s manifest.yaml
# to scan a GitHub repository
export GITHUB_TOKEN=<personal_access_token>
cnspec scan github repo <org/repo>
📚 Pour en savoir plus, consultez la documentation cnspec.
Les politiques cnspec sont fondées sur le concept de politique en tant que code. cnspec est fourni avec des politiques de sécurité par défaut configurées pour toutes les cibles prises en charge. Les politiques par défaut sont disponibles dans le répertoire content de ce dépôt.
cnspec analyse les vulnérabilités sur un large éventail de plateformes. L'analyse des vulnérabilités ne se limite pas aux images de conteneurs ; elle fonctionne également pour la compilation et l'exécution.
REMARQUE : L'analyse des vulnérabilités nécessite que le client soit connecté à Mondoo Platform.
# scan container image
cnspec vuln docker debian:12
# scan aws instance via EC2 instance connect
cnspec vuln aws ec2 instance-connect root@i-1234567890abcdef0
# scan instance via SSH
cnspec vuln ssh user@host
# scan windows via SSH or Winrm
cnspec vuln ssh user@host --ask-pass
cnspec vuln winrm user@host --ask-pass
# scan VMware vSphere ESXi hosts
cnspec vuln vsphere user@host --ask-pass
# scan Linux, Windows
cnspec vuln local
| Plateforme | Versions |
|---|---|
| Alpine | 3.10 - 3.24 |
| AlmaLinux | 8, 9, 10 |
| Amazon Linux | 1, 2, 2023 |
| Arch Linux | Rolling |
| CentOS | 6, 7, 8, Stream |
| Debian | 8, 9, 10, 11, 12, 13 |
| Fedora | 30 - 44 |
| openSUSE | Leap 15, Leap 16 |
| Oracle Linux | 6, 7, 8, 9, 10 |
| Photon Linux | 2, 3, 4, 5 |
| Red Hat Enterprise Linux | 6, 7, 8, 9, 10 |
| Rocky Linux | 8, 9, 10 |
| SUSE Linux Enterprise | 12, 15, 16 |
| Ubuntu | 18.04, 20.04, 22.04, 24.04, 26.04 |
| VMware vSphere ESXi | 6, 7, 8, 9 |
| Windows | 10, 11, 2016, 2019, 2022, 2025 |
cnspec fournit également un shell interactif pour explorer les assertions. Il vous aide à comprendre les assertions utilisées par les politiques de sécurité, ainsi qu'à écrire vos propres politiques. C'est aussi un excellent moyen d'interagir à la volée avec des cibles locales et distantes.
cnspec shell local
La commande help fournit des informations sur les ressources qui alimentent cnspec. Exécuter help sans aucun argument liste toutes les ressources disponibles et leurs champs. Vous pouvez également exécuter help <resource> pour obtenir plus de détails sur une ressource spécifique. Par exemple :
cnspec> help ports
ports: TCP/IP ports on the system
list []port: List of all TCP/IP ports
listening []port: All listening ports
Le shell utilise l'auto-complétion, ce qui facilite l'exploration.
Une fois dans le shell, vous pouvez saisir des assertions MQL comme ceci :
> ports.listening.none( port == 23 )
Pour effacer le terminal, tapez clear.
Pour quitter, appuyez sur CTRL + D ou tapez exit.
La plateforme de sécurité unifiée Mondoo détecte et priorise les vulnérabilités et les mauvaises configurations qui présentent le risque le plus élevé pour votre entreprise. La toile de données de sécurité de Mondoo analyse la menace et l'exposition de chaque constat dans le contexte unique de votre infrastructure. Au lieu d'un flot d'alertes de sécurité non pertinentes, Mondoo vous montre comment avoir un impact immédiat et significatif sur votre posture de sécurité.
Pour commencer, contactez-nous.
Pour en savoir plus sur Mondoo Platform, consultez la documentation de Mondoo Platform ou visitez mondoo.com.
Pour utiliser cnspec avec Mondoo Platform, générez un token dans l'application Mondoo, puis exécutez :
cnspec login --token TOKEN
Une fois authentifié, vous pouvez scanner n'importe quelle cible :
cnspec scan <target>
cnspec renvoie les résultats de l'analyse vers STDOUT et vers Mondoo Platform.