Sicurezza open source e cloud-native per proteggere tutto, dalla build al runtime
Progetto open source di sicurezza e policy cloud-native
cnspec valuta la sicurezza e la conformità dell'intera infrastruttura. Individua vulnerabilità e misconfigurazioni in ambienti cloud pubblici e privati, cluster Kubernetes, container, registry di container, server, endpoint, prodotti SaaS, infrastructure as code, API e altro ancora.
Potente motore di policy as code, cnspec è costruito sul security data fabric di Mondoo. Viene fornito con policy di sicurezza predefinite che funzionano immediatamente. È sia veloce che semplice da usare!
bash -c "$(curl -sSL https://install.mondoo.com/sh)" cnspec scan local
## Installazione
Installa cnspec con il nostro script di installazione:
**Linux e macOS**```bash
bash -c "$(curl -sSL https://install.mondoo.com/sh)"
Windows```powershell Set-ExecutionPolicy Unrestricted -Scope Process -Force; [System.Net.ServicePointManager]::SecurityProtocol = [System.Net.ServicePointManager]::SecurityProtocol -bor 3072; iex ((New-Object System.Net.WebClient).DownloadString('https://install.mondoo.com/ps1')); Install-Mondoo;
Se preferisci l'installazione manuale, puoi trovare i pacchetti cnspec nelle nostre [releases](https://github.com/mondoohq/cnspec/releases).
## Esegui una scansione con le policy
Usa il sottocomando `cnspec scan` per verificare configurazioni errate e vulnerabilità su target locali e remoti.
### Scansione locale
Questo comando valuta la sicurezza della tua macchina locale:```bash
cnspec scan local
Puoi anche specificare target remoti da scansionare. Ad esempio:```bash
cnspec scan docker image ubuntu:22.04
aws ecr-public get-login-password --region us-east-1 | docker login --username AWS --password-stdin public.ecr.aws/r6z5b8t4 cnspec scan docker image public.ecr.aws/r6z5b8t4
cnspec scan aws
cnspec scan aws ec2 instance-connect root@i-1234567890abcdef0
cnspec scan k8s cnspec scan k8s manifest.yaml
export GITHUB_TOKEN=<personal_access_token> cnspec scan github repo <org/repo>
[:books: Per saperne di più, consulta la documentazione di cnspec.](https://mondoo.com/docs/cnspec)
### Policy
Le policy di cnspec si basano sul concetto di policy as code. cnspec viene fornito con policy di sicurezza predefinite configurate per tutte le destinazioni supportate. Le policy predefinite sono disponibili nella directory `content` di questo repository.
## Scansione delle vulnerabilità
cnspec esegue la scansione delle vulnerabilità su un'ampia gamma di piattaforme. La scansione delle vulnerabilità non è limitata alle immagini dei container; funziona anche per build e runtime.
NOTA: La scansione delle vulnerabilità richiede che il client abbia effettuato l'accesso a Mondoo Platform.
### Esempi```bash
# scan container image
cnspec vuln docker debian:12
# scan aws instance via EC2 instance connect
cnspec vuln aws ec2 instance-connect root@i-1234567890abcdef0
# scan instance via SSH
cnspec vuln ssh user@host
# scan windows via SSH or Winrm
cnspec vuln ssh user@host --ask-pass
cnspec vuln winrm user@host --ask-pass
# scan VMware vSphere ESXi hosts
cnspec vuln vsphere user@host --ask-pass
# scan Linux, Windows
cnspec vuln local
| Piattaforma | Versioni |
|---|---|
| Alpine | 3.10 - 3.24 |
| AlmaLinux | 8, 9, 10 |
| Amazon Linux | 1, 2, 2023 |
| Arch Linux | Rolling |
| CentOS | 6, 7, 8, Stream |
| Debian | 8, 9, 10, 11, 12, 13 |
| Fedora | 30 - 44 |
| openSUSE | Leap 15, Leap 16 |
| Oracle Linux | 6, 7, 8, 9, 10 |
| Photon Linux | 2, 3, 4, 5 |
| Red Hat Enterprise Linux | 6, 7, 8, 9, 10 |
| Rocky Linux | 8, 9, 10 |
| SUSE Linux Enterprise | 12, 15, 16 |
| Ubuntu | 18.04, 20.04, 22.04, 24.04, 26.04 |
| VMware vSphere ESXi | 6, 7, 8, 9 |
| Windows | 10, 11, 2016, 2019, 2022, 2025 |
cnspec fornisce anche una shell interattiva per esplorare le asserzioni. Ti aiuta a comprendere le asserzioni utilizzate dalle policy di sicurezza, oltre a scrivere le tue policy. È anche un ottimo modo per interagire al volo con target locali e remoti.
cnspec shell local
La shell fornisce un comando `help` per informazioni sulle risorse che alimentano cnspec. Eseguire `help` senza argomenti elenca tutte le risorse disponibili e i loro campi. Puoi anche eseguire `help <resource>` per ottenere maggiori dettagli su una risorsa specifica. Ad esempio:```bash
cnspec> help ports
ports: TCP/IP ports on the system
list []port: List of all TCP/IP ports
listening []port: All listening ports
La shell utilizza l'auto-completamento, che rende facile l'esplorazione.
Una volta dentro la shell, puoi inserire asserzioni MQL come questa:```coffeescript
ports.listening.none( port == 23 )
Per cancellare il terminale, digita `clear`.
Per uscire, premi CTRL + D oppure digita `exit`.
## Dai priorità ai rischi che contano con Mondoo Platform
La piattaforma di sicurezza unificata Mondoo individua e dà priorità alle vulnerabilità e alle misconfigurazioni che rappresentano il rischio più elevato per la tua azienda. Il security data fabric di Mondoo analizza la minaccia e l'esposizione di ogni rilevamento nel contesto unico della tua infrastruttura. Invece di un diluvio di avvisi di sicurezza irrilevanti, Mondoo ti mostra come puoi avere un impatto immediato e significativo sulla tua postura di sicurezza.
Per iniziare, [contattaci](https://mondoo.com/contact).
Per saperne di più su Mondoo Platform, leggi la [documentazione di Mondoo Platform](https://mondoo.com/docs) o visita [mondoo.com](https://mondoo.com).
### Registrare cnspec con Mondoo Platform
Per utilizzare cnspec con Mondoo Platform, [genera un token nella Mondoo App](https://mondoo.com/docs/cnspec/install/registration), poi esegui:```bash
cnspec login --token TOKEN
Una volta autenticato, puoi scansionare qualsiasi target:```bash cnspec scan
cnspec restituisce i risultati della scansione su `STDOUT` e alla Mondoo Platform.
Con un account su Mondoo Platform, puoi caricare le policy:```bash
cnspec bundle upload mypolicy.mql.yaml
Una policy cnspec è semplicemente un file YAML che ti consente di esprimere qualsiasi regola di sicurezza o best practice per la tua flotta.
Alcuni esempi si trovano nella cartella examples di questo repo. Puoi eseguire una qualsiasi di queste policy:```bash
cnspec scan local -f examples/example.mql.yaml
Se sei interessato a scrivere le tue policy o a contribuire con policy alla comunità cnspec, leggi la [Guida alla creazione di policy](https://mondoo.com/docs/cnspec/write-policies/write-intro) di Mondoo.
## Target supportati| Target | Provider | Esempio |
| ------------------------------ | -------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------- |
| Domini Active Directory | `activedirectory` | `cnspec scan activedirectory --dc DC_HOSTNAME --user USER --password PASSWORD` |
| Account Alibaba Cloud | `alicloud` | `cnspec scan alicloud --access-key-id KEY_ID --access-key-secret KEY_SECRET` |
| Playbook Ansible | `ansible` | `cnspec shell ansible YOUR_PLAYBOOK.yml` |
| Cluster Apache Cassandra | `cassandra` | `cnspec scan cassandra HOST --user USER --ask-pass` |
| Dispositivi di rete Arista | `arista` | `cnspec scan arista DEVICE_PUBLIC_IP --ask-pass` |
| Organizzazioni Atlassian | `atlassian admin` | `cnspec shell atlassian admin --admin-token YOUR_TOKEN` |
| Tenant Auth0 | `auth0` | `cnspec scan auth0 --domain TENANT_DOMAIN --client-id CLIENT_ID --client-secret CLIENT_SECRET` |
| Account AWS | `aws` | `cnspec scan aws` |
| Template AWS CloudFormation | `cloudformation` | `cnspec scan cloudformation cloudformation_file.json` |
| Snapshot AWS EC2 EBS | `aws ec2 ebs snapshot` | `cnspec scan aws ec2 ebs snapshot SNAPSHOTID` |
| Volume AWS EC2 EBS | `aws ec2 ebs volume` | `cnspec scan aws ec2 ebs volume VOLUMEID` |
| AWS EC2 Instance Connect | `aws ec2 instance-connect` | `cnspec scan aws ec2 instance-connect ec2-user@INSTANCEID` |
| Istanze AWS EC2 | `ssh` | `cnspec scan ssh user@host` |
| File Bicep e template ARM | `bicep` | `cnspec scan bicep BICEP_FILE_OR_PATH` |
| Organizzazioni Bitwarden | `bitwarden` | `cnspec scan bitwarden --client-id organization.UUID --client-secret CLIENT_SECRET` |
| Dispositivi a blocchi | `device` | `cnspec scan device --lun LOGICAL_UNIT_NUMBER` |
| Server di gestione Check Point | `checkpoint` | `cnspec scan checkpoint --hostname HOSTNAME --api-key API_KEY` |
| Dispositivi Cisco Catalyst | `ciscocatalyst` | `cnspec scan ciscocatalyst HOSTNAME --user USER --ask-pass` |
| Account piattaforma Claude AI | `claude` | `cnspec scan claude --admin-token ADMIN_API_KEY` |
| Organizzazioni ClickHouse Cloud | `clickhousecloud` | `cnspec scan clickhousecloud --organization-id ORG_ID --api-key KEY_ID --ask-secret` |
| Server ClickHouse | `clickhousedb` | `cnspec scan clickhousedb HOST --user USER --ask-pass` |
| Account Cloudflare | `cloudflare` | `cnspec scan cloudflare --token ACCESS_TOKEN` |
| Utenti Confluence | `atlassian confluence` | `cnspec shell atlassian confluence --host YOUR_HOST_URL --user USER --user-token YOUR_TOKEN` |
| Immagini container | `container`, `docker` | `cnspec scan container ubuntu:latest` |
| Registry container | `container registry` | `cnspec scan container registry index.docker.io/library/rockylinux:8` |
| Account Databricks | `databricks` | `cnspec scan databricks --account-id ACCOUNT_ID --client-id CLIENT_ID --client-secret CLIENT_SECRET` |
| Account Datadog | `datadog` | `cnspec scan datadog --api-key API_KEY --app-key APP_KEY` |
| Account DigitalOcean | `digitalocean` | `cnspec scan digitalocean --token API_TOKEN` |
| Record DNS | `host` | `cnspec scan host mondoo.com` |
| Dockerfile | `docker` | `cnspec shell docker file FILENAME` |
| Team Dropbox Business | `dropbox` | `cnspec scan dropbox --token TEAM_ACCESS_TOKEN` |
| Cluster Elasticsearch | `elasticsearch` | `cnspec scan elasticsearch HOST --user USER --ask-pass` |
| Sistemi F5 BIG-IP | `bigip` | `cnspec scan bigip --hostname HOSTNAME --username USER --ask-pass` |
| File system | `filesystem` | `cnspec scan filesystem MOUNT_PATH` |
| Dispositivi FortiOS | `fortios` | `cnspec scan fortios --hostname HOSTNAME --token API_TOKEN` |
| Organizzazioni GitHub | `github org` | `cnspec scan github org mondoohq` |
| Repository GitHub | `github repo` | `cnspec scan github repo mondoohq/cnspec` |
| Gruppi GitLab | `gitlab` | `cnspec scan gitlab --group mondoohq` |
| Progetti Google Cloud | `gcp` | `cnspec scan gcp` |
| Google Workspace | `google-workspace` | `cnspec scan google-workspace --customer-id CUSTOMER_ID --impersonated-user-email EMAIL --credentials-path JSON_FILE` |
| Organizzazioni Grafana | `grafana` | `cnspec scan grafana --url GRAFANA_URL --token API_TOKEN` |
| HashiCorp Cloud Platform | `hcp` | `cnspec scan hcp --client-id CLIENT_ID --client-secret CLIENT_SECRET` |
| Chart Helm | `helm` | `cnspec scan helm CHART_PATH` |
| Progetti Hetzner Cloud | `hetzner` | `cnspec scan hetzner --token API_TOKEN` |
| Namespace Hugging Face | `huggingface` | `cnspec scan huggingface --token API_TOKEN --namespace NAMESPACE --namespace-type org` |
| Database IBM Db2 | `db2` | `cnspec scan db2 HOST --database DATABASE --user USER --ask-pass` |
| Dispositivi IoT | `opcua` | `cnspec shell opcua` |
| Informazioni indirizzo IP | `ipinfo` | `cnspec shell ipinfo` |
| Interfacce IPMI | `ipmi` | `cnspec scan ipmi user@host` |
| Tenant Iru | `iru` | `cnspec scan iru --subdomain SUBDOMAIN --token API_TOKEN` |
| Account Jamf Pro | `jamf` | `cnspec scan jamf --client-id CLIENT_ID --client-secret CLIENT_SECRET --instance-domain INSTANCE_URL` |
| Istanze JFrog Artifactory | `artifactory` | `cnspec scan artifactory --url ARTIFACTORY_URL --token ACCESS_TOKEN` |
| Progetti Jira | `atlassian jira` | `cnspec shell atlassian jira --host YOUR_HOST_URL --user USER --user-token YOUR_TOKEN` |
| Organizzazioni JumpCloud | `jumpcloud` | `cnspec scan jumpcloud --api-key API_KEY` |
| Dispositivi Juniper Junos | `junos` | `cnspec scan junos --hostname DEVICE_IP --username USER_NAME --identity-file SSH_IDENTITY_FILE` |
| Server Keycloak | `keycloak` | `cnspec scan keycloak --url KEYCLOAK_URL --realm REALM --client-id CLIENT_ID --client-secret CLIENT_SECRET` |
| Nodi cluster Kubernetes | `local`, `ssh` | `cnspec scan ssh user@host` |
| Cluster Kubernetes | `k8s` | `cnspec scan k8s` |
| Manifest Kubernetes | `k8s` | `cnspec scan k8s manifest.yaml` |
| Workload Kubernetes | `k8s` | `cnspec scan k8s --discover pods,deployments` |
| Overlay Kustomize | `kustomize` | `cnspec scan kustomize OVERLAY_PATH` |
| Host Linux | `local`, `ssh` | `cnspec scan local` o<br></br>`cnspec scan ssh user@host` |
| Host macOS | `local`, `ssh` | `cnspec scan local` o<br></br>`cnspec scan ssh user@IP_ADDRESS` |
| Tenant Microsoft 365 | `ms365` | `cnspec scan ms365 --tenant-id TENANT_ID --client-id CLIENT_ID --certificate-path PEM_FILE` |
| Istanze Microsoft Azure | `ssh` | `cnspec scan ssh user@host` |
| Sottoscrizioni Microsoft Azure | `azure` | `cnspec scan azure --subscription SUBSCRIPTION_ID` |
| Istanze Microsoft SQL Server | `mssql` | `cnspec scan mssql HOST --user USER --ask-pass` |
| Dispositivi MikroTik RouterOS | `mikrotik` | `cnspec scan mikrotik user@host --ask-pass` |
| Workspace Mistral AI | `mistral` | `cnspec scan mistral --token API_KEY --workspace WORKSPACE_ID` |
| Server Model Context Protocol | `mcp` | `cnspec scan mcp http http://localhost:8080/mcp` |
| Mondoo Platform | `mondoo` | `cnspec scan mondoo` |
| Organizzazioni MongoDB Atlas | `mongodbatlas` | `cnspec scan mongodbatlas --org-id ORG_ID --public-key PUBLIC_KEY --private-key PRIVATE_KEY` |
| Server MongoDB | `mongo` | `cnspec scan mongo HOST --user USER --ask-pass` |
| Server MySQL e MariaDB | `mysqldb` | `cnspec scan mysqldb HOST --user USER --ask-pass` |
| Organizzazioni Neon | `neon` | `cnspec scan neon --token API_KEY` |
| Account Netlify | `netlify` | `cnspec scan netlify --token ACCESS_TOKEN` |
| Dispositivi di rete via SSH | `nd-ssh` | `cnspec scan nd-ssh user@host --ask-pass` |
| Account NextDNS | `nextdns` | `cnspec scan nextdns --api-key API_KEY` |
| Scansioni di rete Nmap | `nmap` | `cnspec shell nmap host IP_ADDRESS` |
| Nutanix Prism Central | `nutanix` | `cnspec scan nutanix --endpoint ENDPOINT --user USER --ask-pass` |
| Organizzazione Okta | `okta` | `cnspec scan okta --token TOKEN --organization ORGANIZATION` |
| Istanze Ollama | `ollama` | `cnspec scan ollama --host OLLAMA_URL` |
| Account OpenAI | `openai` | `cnspec scan openai --token ADMIN_API_KEY --organization ORG_ID` |
| Cluster OpenSearch | `opensearch` | `cnspec scan opensearch HOST --user USER --ask-pass` |
| Progetti OpenStack | `openstack` | `cnspec scan openstack --cloud CLOUDS_YAML_ENTRY` |
| Oracle Cloud Interface (OCI) | `oci` | `cnspec scan oci` |
| Oracle Database | `oracledb` | `cnspec scan oracledb HOST --service SERVICE_NAME --user USER --ask-pass` |
| Firewall PAN-OS | `panos` | `cnspec scan panos --hostname HOSTNAME --username USER --ask-pass` |
| Istanze Portainer | `portainer` | `cnspec scan portainer PORTAINER_URL --access-token ACCESS_TOKEN` |
| Server PostgreSQL | `postgresdb` | `cnspec scan postgresdb HOST --user USER --ask-pass` |
| Hypervisor Proxmox VE | `proxmox` | `cnspec scan proxmox --host PROXMOX_URL --token API_TOKEN` |
| Controller di gestione Redfish | `redfish` | `cnspec scan redfish user@host --ask-pass` |
| Server Redis e Valkey | `redisdb` | `cnspec scan redisdb HOST --ask-pass` |
| Container in esecuzione | `docker` | `cnspec scan docker CONTAINER_ID` |
| Motore di ricerca Shodan | `shodan` | `cnspec shell shodan` |
| Team Slack | `slack` | `cnspec scan slack --token TOKEN` |
| Account Snowflake | `snowflake` | `cnspec scan snowflake --account ACCOUNT_ID --region REGION --user USER --role ROLE --token TOKEN` |
| Dipendenze software | `depsdev` | `cnspec scan depsdev PATH_TO_GO_MOD` |
| Certificati SSL sui siti web | `host` | `cnspec scan host mondoo.com` |
| Progetti STACKIT | `stackit` | `cnspec scan stackit --project-id PROJECT_ID --service-account-key-path KEY_FILE` |
| Sottodomini | `networkdiscovery` | `cnspec scan networkdiscovery mondoohq.com --discover subdomains` |
| Reti Tailscale | `tailscale` | `cnspec scan tailscale --token ACCESS_TOKEN` |
| Terraform HCL | `terraform` | `cnspec scan terraform HCL_FILE_OR_PATH` |
| Terraform plan | `terraform plan` | `cnspec scan terraform plan plan.json` |
| Terraform state | `terraform state` | `cnspec scan terraform state state.json` |
| Account Together AI | `together` | `cnspec scan together --token API_KEY` |
| Controller Ubiquiti UniFi | `unifi` | `cnspec scan unifi --hostname HOSTNAME --username USER --ask-pass` |
| Macchine virtuali Vagrant | `vagrant` | `cnspec scan vagrant HOST` |
| Account Vercel | `vercel` | `cnspec scan vercel --token ACCESS_TOKEN` |
| Server di inferenza vLLM | `vllm` | `cnspec scan vllm ENDPOINT` |
| VMware Cloud Director | `vcd` | `cnspec shell vcd --user USER --host HOST --ask-pass` |
| VMware vSphere | `vsphere` | `cnspec scan vsphere user@domain@host --ask-pass` |
| Database vettoriali Weaviate | `weaviate` | `cnspec scan weaviate HOST --api-key API_KEY` |
| Host Windows | `local`, `ssh`, `winrm` | `cnspec scan local`,<br></br>`cnspec scan ssh Administrator@IP_ADDRESS --ask-pass` o<br></br>`cnspec scan winrm Administrator@IP_ADDRESS --ask-pass` |
| Account Zoom | `zoom` | `cnspec scan zoom --account-id ACCOUNT_ID --client-id CLIENT_ID --client-secret CLIENT_SECRET` |## Competenze degli agenti
cnspec include competenze per gli agenti che forniscono agli agenti di codifica competenze MQL e capacità di navigazione delle policy. Le competenze funzionano su Claude Code, Cursor, Gemini CLI e Codex.
| Competenza | Descrizione |
|-------|-------------|
| [mql](https://github.com/mondoohq/cnspec/blob/main/skills/mql) | Sviluppo di query MQL con guida alla sintassi, pattern specifici per piattaforma e scoperta dello schema |
| [policy-graph](https://github.com/mondoohq/cnspec/blob/main/skills/policy-graph) | Naviga i bundle di policy utilizzando comandi grafici — ricerca, tracciamento delle mappature di conformità, esplorazione della struttura |
Consulta [skills/README.md](https://github.com/mondoohq/cnspec/blob/main/skills/README.md) per le istruzioni di installazione e i dettagli.
## E adesso?
Ci sono tantissime cose che cnspec può fare, dal testare l'intera flotta per vulnerabilità alla raccolta di informazioni e alla creazione di report per i revisori. Con le sue policy personalizzate, cnspec può scansionare qualsiasi componente ti interessi!
Esplora le nostre:
- [documentazione di cnspec](https://mondoo.com/docs/cnspec)
- [Policy as code](https://mondoo.com/docs/cnspec/write-policies/write-intro)
- [MQL](https://github.com/mondoohq/mql), il nostro framework open source cloud-native per l'inventario degli asset
- [Introduzione a MQL](https://mondoohq.github.io/mql-intro/index.html)
- [Pacchetti di risorse MQL](https://mondoo.com/docs/mql/resources)
- [Plugin HashiCorp Packer](https://github.com/mondoohq/packer-plugin-mondoo) per integrare cnspec con HashiCorp Packer!
## Unisciti alla community!
Il nostro obiettivo è proteggere tutti i livelli della tua infrastruttura. Se hai bisogno di supporto o vuoi partecipare allo sviluppo di cnspec, unisciti alla nostra [community](https://github.com/orgs/mondoohq/discussions) oggi stesso e cresciamo insieme!
## Sviluppo
Consulta la nostra [documentazione di sviluppo](https://github.com/mondoohq/cnspec/blob/main/docs/development.md) per informazioni sulla compilazione e sul contributo a cnspec.
## Note legali
- **Copyright:** 2018-2026, Mondoo, Inc.
- **Licenza:** BUSL 1.1
- **Autori:** Christoph Hartmann, Dominik Richter