Sicurezza open source e cloud-native per proteggere tutto, dalla build al runtime
Progetto open source di sicurezza e policy cloud-native
cnspec valuta la sicurezza e la conformità dell'intera infrastruttura. Individua vulnerabilità e misconfigurazioni in ambienti cloud pubblici e privati, cluster Kubernetes, container, registry di container, server, endpoint, prodotti SaaS, infrastruttura come codice, API e altro ancora.
Potente motore di policy as code, cnspec è costruito sul security data fabric di Mondoo. Viene fornito con policy di sicurezza predefinite che funzionano subito, senza configurazione. È sia veloce che semplice da usare!
bash -c "$(curl -sSL https://install.mondoo.com/sh)"
cnspec scan local
Installa cnspec con il nostro script di installazione:
Linux e macOS
bash -c "$(curl -sSL https://install.mondoo.com/sh)"
Windows
Set-ExecutionPolicy Unrestricted -Scope Process -Force;
[System.Net.ServicePointManager]::SecurityProtocol = [System.Net.ServicePointManager]::SecurityProtocol -bor 3072;
iex ((New-Object System.Net.WebClient).DownloadString('https://install.mondoo.com/ps1'));
Install-Mondoo;
Se preferisci l'installazione manuale, puoi trovare i pacchetti cnspec nelle nostre releases.
Usa il sottocomando cnspec scan per verificare la presenza di misconfigurazioni e vulnerabilità su target locali e remoti.
Questo comando valuta la sicurezza della tua macchina locale:
cnspec scan local
Puoi anche specificare target remoti da scansionare. Ad esempio:
# to scan a docker image:
cnspec scan docker image ubuntu:22.04
# scan public ECR registry
aws ecr-public get-login-password --region us-east-1 | docker login --username AWS --password-stdin public.ecr.aws/r6z5b8t4
cnspec scan docker image public.ecr.aws/r6z5b8t4
# to scan an AWS account using the local AWS CLI config
cnspec scan aws
# scan an EC2 instance with EC2 Instance Connect
cnspec scan aws ec2 instance-connect root@i-1234567890abcdef0
# to scan a Kubernetes cluster via your local kubectl config or a local manifest file
cnspec scan k8s
cnspec scan k8s manifest.yaml
# to scan a GitHub repository
export GITHUB_TOKEN=<personal_access_token>
cnspec scan github repo <org/repo>
📚 Per saperne di più, leggi la documentazione di cnspec.
Le policy di cnspec si basano sul concetto di policy as code. cnspec viene fornito con policy di sicurezza predefinite configurate per tutti i target supportati. Le policy predefinite sono disponibili nella directory content di questo repository.
cnspec esegue la scansione delle vulnerabilità su un'ampia gamma di piattaforme. La scansione delle vulnerabilità non è limitata alle immagini dei container; funziona anche in fase di build e di runtime.
NOTA: la scansione delle vulnerabilità richiede che il client abbia effettuato l'accesso a Mondoo Platform.
# scan container image
cnspec vuln docker debian:12
# scan aws instance via EC2 instance connect
cnspec vuln aws ec2 instance-connect root@i-1234567890abcdef0
# scan instance via SSH
cnspec vuln ssh user@host
# scan windows via SSH or Winrm
cnspec vuln ssh user@host --ask-pass
cnspec vuln winrm user@host --ask-pass
# scan VMware vSphere ESXi hosts
cnspec vuln vsphere user@host --ask-pass
# scan Linux, Windows
cnspec vuln local
| Piattaforma | Versioni |
|---|---|
| Alpine | 3.10 - 3.24 |
| AlmaLinux | 8, 9, 10 |
| Amazon Linux | 1, 2, 2023 |
| Arch Linux | Rolling |
| CentOS | 6, 7, 8, Stream |
| Debian | 8, 9, 10, 11, 12, 13 |
| Fedora | 30 - 44 |
| openSUSE | Leap 15, Leap 16 |
| Oracle Linux | 6, 7, 8, 9, 10 |
| Photon Linux | 2, 3, 4, 5 |
| Red Hat Enterprise Linux | 6, 7, 8, 9, 10 |
| Rocky Linux | 8, 9, 10 |
| SUSE Linux Enterprise | 12, 15, 16 |
| Ubuntu | 18.04, 20.04, 22.04, 24.04, 26.04 |
| VMware vSphere ESXi | 6, 7, 8, 9 |
| Windows | 10, 11, 2016, 2019, 2022, 2025 |
cnspec fornisce anche una shell interattiva per esplorare le asserzioni. Ti aiuta a comprendere le asserzioni utilizzate dai criteri di sicurezza, oltre a scrivere i tuoi criteri personalizzati. È anche un ottimo modo per interagire al volo con target locali e remoti.
cnspec shell local
La shell fornisce un comando help per ottenere informazioni sulle risorse che alimentano cnspec. Eseguendo help senza argomenti vengono elencate tutte le risorse disponibili e i relativi campi. È inoltre possibile eseguire help <resource> per ottenere maggiori dettagli su una risorsa specifica. Ad esempio:
cnspec> help ports
ports: TCP/IP ports on the system
list []port: List of all TCP/IP ports
listening []port: All listening ports
La shell utilizza l'auto-completamento, che rende semplice l'esplorazione.
Una volta dentro la shell, puoi inserire asserzioni MQL come questa:
> ports.listening.none( port == 23 )
Per cancellare il terminale, digita clear.
Per uscire, premi CTRL + D oppure digita exit.
La piattaforma di sicurezza unificata Mondoo individua e assegna priorità alle vulnerabilità e alle configurazioni errate che rappresentano il rischio più elevato per la tua azienda. Il tessuto di dati di sicurezza di Mondoo analizza la minaccia e l'esposizione di ogni rilevamento nel contesto unico della tua infrastruttura. Invece di un diluvio di avvisi di sicurezza irrilevanti, Mondoo ti mostra come puoi avere un impatto immediato e significativo sulla tua postura di sicurezza.
Per iniziare, contattaci.
Per saperne di più su Mondoo Platform, leggi la documentazione di Mondoo Platform o visita mondoo.com.
Per utilizzare cnspec con Mondoo Platform, genera un token nell'app Mondoo, quindi esegui:
cnspec login --token TOKEN
Una volta autenticato, puoi scansionare qualsiasi target:
cnspec scan <target>
cnspec restituisce i risultati della scansione su STDOUT e a Mondoo Platform.
Con un account su Mondoo Platform, puoi caricare le policy:
cnspec bundle upload mypolicy.mql.yaml