Uma segurança de código aberto e nativa da nuvem para proteger tudo, desde a compilação até o tempo de execução
Projeto de segurança e políticas de código aberto, nativo da nuvem
O cnspec avalia a segurança e a conformidade de toda a sua infraestrutura. Ele encontra vulnerabilidades e configurações incorretas em ambientes de nuvem pública e privada, clusters Kubernetes, contêineres, registros de contêineres, servidores, endpoints, produtos SaaS, infraestrutura como código, APIs e muito mais.
Um poderoso mecanismo de políticas como código, o cnspec é construído sobre o tecido de dados de segurança da Mondoo. Ele vem configurado com políticas de segurança padrão que funcionam imediatamente. É rápido e simples de usar!
bash -c "$(curl -sSL https://install.mondoo.com/sh)"
cnspec scan local
Instale o cnspec com nosso script de instalação:
Linux e macOS
bash -c "$(curl -sSL https://install.mondoo.com/sh)"
Windows
Set-ExecutionPolicy Unrestricted -Scope Process -Force;
[System.Net.ServicePointManager]::SecurityProtocol = [System.Net.ServicePointManager]::SecurityProtocol -bor 3072;
iex ((New-Object System.Net.WebClient).DownloadString('https://install.mondoo.com/ps1'));
Install-Mondoo;
Se você preferir a instalação manual, pode encontrar os pacotes do cnspec em nossas releases.
Use o subcomando cnspec scan para verificar alvos locais e remotos em busca de configurações incorretas e vulnerabilidades.
Este comando avalia a segurança da sua máquina local:
cnspec scan local
Você também pode especificar alvos remotos para varredura. Por exemplo:
# to scan a docker image:
cnspec scan docker image ubuntu:22.04
# scan public ECR registry
aws ecr-public get-login-password --region us-east-1 | docker login --username AWS --password-stdin public.ecr.aws/r6z5b8t4
cnspec scan docker image public.ecr.aws/r6z5b8t4
# to scan an AWS account using the local AWS CLI config
cnspec scan aws
# scan an EC2 instance with EC2 Instance Connect
cnspec scan aws ec2 instance-connect root@i-1234567890abcdef0
# to scan a Kubernetes cluster via your local kubectl config or a local manifest file
cnspec scan k8s
cnspec scan k8s manifest.yaml
# to scan a GitHub repository
export GITHUB_TOKEN=<personal_access_token>
cnspec scan github repo <org/repo>
📚 Para saber mais, leia a documentação do cnspec.
As políticas do cnspec baseiam-se no conceito de política como código. O cnspec vem com políticas de segurança padrão configuradas para todos os alvos suportados. As políticas padrão estão disponíveis no diretório content deste repositório.
O cnspec verifica vulnerabilidades numa vasta gama de plataformas. A verificação de vulnerabilidades não se limita a imagens de contentores; funciona também em tempo de compilação e de execução.
NOTA: A verificação de vulnerabilidades requer que o cliente tenha sessão iniciada na Mondoo Platform.
# scan container image
cnspec vuln docker debian:12
# scan aws instance via EC2 instance connect
cnspec vuln aws ec2 instance-connect root@i-1234567890abcdef0
# scan instance via SSH
cnspec vuln ssh user@host
# scan windows via SSH or Winrm
cnspec vuln ssh user@host --ask-pass
cnspec vuln winrm user@host --ask-pass
# scan VMware vSphere ESXi hosts
cnspec vuln vsphere user@host --ask-pass
# scan Linux, Windows
cnspec vuln local
| Plataforma | Versões |
|---|---|
| Alpine | 3.10 - 3.24 |
| AlmaLinux | 8, 9, 10 |
| Amazon Linux | 1, 2, 2023 |
| Arch Linux | Rolling |
| CentOS | 6, 7, 8, Stream |
| Debian | 8, 9, 10, 11, 12, 13 |
| Fedora | 30 - 44 |
| openSUSE | Leap 15, Leap 16 |
| Oracle Linux | 6, 7, 8, 9, 10 |
| Photon Linux | 2, 3, 4, 5 |
| Red Hat Enterprise Linux | 6, 7, 8, 9, 10 |
| Rocky Linux | 8, 9, 10 |
| SUSE Linux Enterprise | 12, 15, 16 |
| Ubuntu | 18.04, 20.04, 22.04, 24.04, 26.04 |
| VMware vSphere ESXi | 6, 7, 8, 9 |
| Windows | 10, 11, 2016, 2019, 2022, 2025 |
O cnspec também fornece um shell interativo para explorar asserções. Ele ajuda você a entender as asserções que as políticas de segurança utilizam, bem como a escrever suas próprias políticas. Também é uma ótima maneira de interagir com alvos locais e remotos em tempo real.
cnspec shell local
O shell fornece um comando help para obter informações sobre os recursos que alimentam o cnspec. Executar help sem quaisquer argumentos lista todos os recursos disponíveis e os seus campos. Também pode executar help <resource> para obter mais detalhes sobre um recurso específico. Por exemplo:
cnspec> help ports
ports: TCP/IP ports on the system
list []port: List of all TCP/IP ports
listening []port: All listening ports
O shell usa preenchimento automático, o que facilita a exploração.
Uma vez dentro do shell, você pode inserir asserções MQL como esta:
> ports.listening.none( port == 23 )
Para limpar o terminal, digite clear.
Para sair, pressione CTRL + D ou digite exit.
A plataforma de segurança unificada da Mondoo encontra e prioriza vulnerabilidades e configurações incorretas que representam o maior risco para o seu negócio. O tecido de dados de segurança da Mondoo analisa a ameaça e a exposição de cada descoberta dentro do contexto único da sua infraestrutura. Em vez de uma enxurrada de alertas de segurança irrelevantes, a Mondoo mostra como você pode causar um impacto imediato e significativo na sua postura de segurança.
Para começar, entre em contato conosco.
Para saber mais sobre a Mondoo Platform, leia a documentação da Mondoo Platform ou visite mondoo.com.
Para usar o cnspec com a Mondoo Platform, gere um token no Mondoo App e execute:
cnspec login --token TOKEN
Uma vez autenticado, você pode escanear qualquer alvo:
cnspec scan <target>
cnspec retorna os resultados da verificação para STDOUT e para o Mondoo Platform.
Com uma conta no Mondoo Platform, você pode fazer upload de políticas:
cnspec bundle upload mypolicy.mql.yaml