mondoohq/cnspec빌드부터 런타임까지 모든 것을 보호하는 오픈 소스 클라우드 네이티브 보안
오픈 소스, 클라우드 네이티브 보안 및 정책 프로젝트
cnspec은 전체 인프라의 보안과 규정 준수를 평가합니다. 퍼블릭 및 프라이빗 클라우드 환경, Kubernetes 클러스터, 컨테이너, 컨테이너 레지스트리, 서버, 엔드포인트, SaaS 제품, infrastructure as code, API 등에서 취약점과 잘못된 구성을 찾아냅니다.
강력한 policy as code 엔진인 cnspec은 Mondoo의 보안 데이터 패브릭을 기반으로 구축되었습니다. 별도의 설정 없이 바로 실행되는 기본 보안 정책이 함께 제공됩니다. 빠르고 사용하기도 간단합니다!
bash -c "$(curl -sSL https://install.mondoo.com/sh)"
cnspec scan local
설치 스크립트로 cnspec을 설치하세요:
Linux 및 macOS
bash -c "$(curl -sSL https://install.mondoo.com/sh)"
Windows
Set-ExecutionPolicy Unrestricted -Scope Process -Force;
[System.Net.ServicePointManager]::SecurityProtocol = [System.Net.ServicePointManager]::SecurityProtocol -bor 3072;
iex ((New-Object System.Net.WebClient).DownloadString('https://install.mondoo.com/ps1'));
Install-Mondoo;
수동 설치를 선호하는 경우 releases에서 cnspec 패키지를 찾을 수 있습니다.
cnspec scan 하위 명령을 사용하여 로컬 및 원격 대상의 잘못된 구성과 취약점을 확인하세요.
이 명령은 로컬 머신의 보안을 평가합니다:
cnspec scan local
스캔할 원격 대상을 지정할 수도 있습니다. 예를 들어:
# to scan a docker image:
cnspec scan docker image ubuntu:22.04
# scan public ECR registry
aws ecr-public get-login-password --region us-east-1 | docker login --username AWS --password-stdin public.ecr.aws/r6z5b8t4
cnspec scan docker image public.ecr.aws/r6z5b8t4
# to scan an AWS account using the local AWS CLI config
cnspec scan aws
# scan an EC2 instance with EC2 Instance Connect
cnspec scan aws ec2 instance-connect root@i-1234567890abcdef0
# to scan a Kubernetes cluster via your local kubectl config or a local manifest file
cnspec scan k8s
cnspec scan k8s manifest.yaml
# to scan a GitHub repository
export GITHUB_TOKEN=<personal_access_token>
cnspec scan github repo <org/repo>
cnspec 정책은 정책을 코드로 정의하는(policy as code) 개념을 기반으로 합니다. cnspec은 지원되는 모든 대상에 대해 구성된 기본 보안 정책과 함께 제공됩니다. 기본 정책은 이 저장소의 content 디렉터리에서 확인할 수 있습니다.
cnspec은 다양한 플랫폼에서 취약점을 스캔합니다. 취약점 스캔은 컨테이너 이미지에 국한되지 않으며 빌드 및 런타임에서도 작동합니다.
참고: 취약점 스캔을 사용하려면 클라이언트가 Mondoo Platform에 로그인되어 있어야 합니다.
# scan container image
cnspec vuln docker debian:12
# scan aws instance via EC2 instance connect
cnspec vuln aws ec2 instance-connect root@i-1234567890abcdef0
# scan instance via SSH
cnspec vuln ssh user@host
# scan windows via SSH or Winrm
cnspec vuln ssh user@host --ask-pass
cnspec vuln winrm user@host --ask-pass
# scan VMware vSphere ESXi hosts
cnspec vuln vsphere user@host --ask-pass
# scan Linux, Windows
cnspec vuln local
| 플랫폼 | 버전 |
|---|---|
| Alpine | 3.10 - 3.24 |
| AlmaLinux | 8, 9, 10 |
| Amazon Linux | 1, 2, 2023 |
| Arch Linux | Rolling |
| CentOS | 6, 7, 8, Stream |
| Debian | 8, 9, 10, 11, 12, 13 |
| Fedora | 30 - 44 |
| openSUSE | Leap 15, Leap 16 |
| Oracle Linux | 6, 7, 8, 9, 10 |
| Photon Linux | 2, 3, 4, 5 |
| Red Hat Enterprise Linux | 6, 7, 8, 9, 10 |
| Rocky Linux | 8, 9, 10 |
| SUSE Linux Enterprise | 12, 15, 16 |
| Ubuntu | 18.04, 20.04, 22.04, 24.04, 26.04 |
| VMware vSphere ESXi | 6, 7, 8, 9 |
| Windows | 10, 11, 2016, 2019, 2022, 2025 |
cnspec은 어서션(assertion)을 탐색할 수 있는 대화형 셸도 제공합니다. 이를 통해 보안 정책이 사용하는 어서션을 이해하고 직접 정책을 작성할 수 있습니다. 또한 로컬 및 원격 대상과 즉석에서 상호작용할 수 있는 훌륭한 방법이기도 합니다.
cnspec shell local
셸은 cnspec을 구동하는 리소스에 대한 정보를 제공하는 help 명령을 제공합니다. 인수 없이 help를 실행하면 사용 가능한 모든 리소스와 해당 필드가 나열됩니다. help <resource>를 실행하여 특정 리소스에 대한 자세한 내용을 확인할 수도 있습니다. 예를 들어:
cnspec> help ports
ports: TCP/IP ports on the system
list []port: List of all TCP/IP ports
listening []port: All listening ports
셸은 자동 완성을 사용하므로 탐색이 쉽습니다.
셸에 들어가면 다음과 같이 MQL 검증 구문을 입력할 수 있습니다:
> ports.listening.none( port == 23 )
터미널을 지우려면 clear를 입력하세요.
종료하려면 CTRL + D를 누르거나 exit를 입력하세요.
Mondoo 통합 보안 플랫폼은 비즈니스에 가장 높은 위험을 초래하는 취약점과 잘못된 구성을 찾아 우선순위를 지정합니다. Mondoo의 보안 데이터 패브릭은 인프라의 고유한 맥락 안에서 모든 발견 사항의 위협과 노출을 분석합니다. 관련 없는 보안 경고의 홍수 대신, Mondoo는 보안 태세에 즉각적이고 중대한 영향을 미칠 수 있는 방법을 보여줍니다.
시작하려면 문의하세요.
Mondoo Platform에 대해 알아보려면 Mondoo Platform 문서를 읽거나 mondoo.com을 방문하세요.
Mondoo Platform과 함께 cnspec을 사용하려면 Mondoo App에서 토큰을 생성한 후 다음을 실행하세요:
cnspec login --token TOKEN
인증이 완료되면 모든 대상 스캔이 가능합니다:
cnspec scan <target>
cnspec는 스캔 결과를 STDOUT과 Mondoo Platform으로 반환합니다.
Mondoo Platform 계정이 있으면 정책을 업로드할 수 있습니다:
cnspec bundle upload mypolicy.mql.yaml
cnspec 정책은 단순히 YAML 파일로, 이를 통해 플릿에 대한 모든 보안 규칙이나 모범 사례를 표현할 수 있습니다.
몇 가지 예시는 이 저장소의 examples 폴더에서 확인할 수 있습니다. 다음 정책 중 어느 것이든 실행할 수 있습니다:
cnspec scan local -f examples/example.mql.yaml
정책을 직접 작성하거나 cnspec 커뮤니티에 정책을 기여하는 데 관심이 있다면 Mondoo의 정책 작성 가이드를 읽어보세요.