Uma segurança de código aberto e nativa da nuvem para proteger tudo, desde a compilação até o tempo de execução
Projeto de segurança e políticas de código aberto, nativo da nuvem
O cnspec avalia a segurança e a conformidade de toda a sua infraestrutura. Ele encontra vulnerabilidades e configurações incorretas em ambientes de nuvem pública e privada, clusters Kubernetes, contêineres, registros de contêineres, servidores, endpoints, produtos SaaS, infraestrutura como código, APIs e muito mais.
Um poderoso mecanismo de políticas como código, o cnspec é construído sobre o tecido de dados de segurança da Mondoo. Ele vem configurado com políticas de segurança padrão que funcionam imediatamente. É rápido e simples de usar!
bash -c "$(curl -sSL https://install.mondoo.com/sh)" cnspec scan local
## Instalação
Instale o cnspec com o nosso script de instalação:
**Linux e macOS**```bash
bash -c "$(curl -sSL https://install.mondoo.com/sh)"
Windows```powershell Set-ExecutionPolicy Unrestricted -Scope Process -Force; [System.Net.ServicePointManager]::SecurityProtocol = [System.Net.ServicePointManager]::SecurityProtocol -bor 3072; iex ((New-Object System.Net.WebClient).DownloadString('https://install.mondoo.com/ps1')); Install-Mondoo;
Se você preferir a instalação manual, pode encontrar os pacotes do cnspec nas nossas [releases](https://github.com/mondoohq/cnspec/releases).
## Executar uma verificação com políticas
Use o subcomando `cnspec scan` para verificar alvos locais e remotos em busca de configurações incorretas e vulnerabilidades.
### Verificação local
Este comando avalia a segurança da sua máquina local:```bash
cnspec scan local
Você também pode especificar alvos remotos para escanear. Por exemplo:```bash
cnspec scan docker image ubuntu:22.04
aws ecr-public get-login-password --region us-east-1 | docker login --username AWS --password-stdin public.ecr.aws/r6z5b8t4 cnspec scan docker image public.ecr.aws/r6z5b8t4
cnspec scan aws
cnspec scan aws ec2 instance-connect root@i-1234567890abcdef0
cnspec scan k8s cnspec scan k8s manifest.yaml
export GITHUB_TOKEN=<personal_access_token> cnspec scan github repo <org/repo>
[:books: Para saber mais, leia a documentação do cnspec.](https://mondoo.com/docs/cnspec)
### Políticas
As políticas do cnspec são construídas sobre o conceito de política como código. O cnspec vem com políticas de segurança padrão configuradas para todos os alvos suportados. As políticas padrão estão disponíveis no diretório `content` deste repositório.
## Verificação de vulnerabilidades
O cnspec verifica vulnerabilidades em uma ampla variedade de plataformas. A verificação de vulnerabilidades não se restringe a imagens de contêiner; funciona tanto em tempo de compilação quanto em tempo de execução.
NOTA: A verificação de vulnerabilidades requer que o cliente esteja conectado à Mondoo Platform.
### Exemplos```bash
# scan container image
cnspec vuln docker debian:12
# scan aws instance via EC2 instance connect
cnspec vuln aws ec2 instance-connect root@i-1234567890abcdef0
# scan instance via SSH
cnspec vuln ssh user@host
# scan windows via SSH or Winrm
cnspec vuln ssh user@host --ask-pass
cnspec vuln winrm user@host --ask-pass
# scan VMware vSphere ESXi hosts
cnspec vuln vsphere user@host --ask-pass
# scan Linux, Windows
cnspec vuln local
| Plataforma | Versões |
|---|---|
| Alpine | 3.10 - 3.24 |
| AlmaLinux | 8, 9, 10 |
| Amazon Linux | 1, 2, 2023 |
| Arch Linux | Rolling |
| CentOS | 6, 7, 8, Stream |
| Debian | 8, 9, 10, 11, 12, 13 |
| Fedora | 30 - 44 |
| openSUSE | Leap 15, Leap 16 |
| Oracle Linux | 6, 7, 8, 9, 10 |
| Photon Linux | 2, 3, 4, 5 |
| Red Hat Enterprise Linux | 6, 7, 8, 9, 10 |
| Rocky Linux | 8, 9, 10 |
| SUSE Linux Enterprise | 12, 15, 16 |
| Ubuntu | 18.04, 20.04, 22.04, 24.04, 26.04 |
| VMware vSphere ESXi | 6, 7, 8, 9 |
| Windows | 10, 11, 2016, 2019, 2022, 2025 |
O cnspec também fornece um shell interativo para explorar asserções. Ele ajuda você a entender as asserções que as políticas de segurança utilizam, bem como a escrever suas próprias políticas. Também é uma ótima maneira de interagir com alvos locais e remotos em tempo real.
cnspec shell local
O shell fornece um comando `help` para obter informações sobre os recursos que alimentam o cnspec. Executar `help` sem quaisquer argumentos lista todos os recursos disponíveis e os seus campos. Também pode executar `help <resource>` para obter mais detalhes sobre um recurso específico. Por exemplo:```bash
cnspec> help ports
ports: TCP/IP ports on the system
list []port: List of all TCP/IP ports
listening []port: All listening ports
O shell usa preenchimento automático, o que facilita a exploração.
Uma vez dentro do shell, você pode inserir asserções MQL como esta:```coffeescript
ports.listening.none( port == 23 )
Para limpar o terminal, digite `clear`.
Para sair, pressione CTRL + D ou digite `exit`.
## Priorize riscos que importam com a Mondoo Platform
A plataforma de segurança unificada da Mondoo encontra e prioriza vulnerabilidades e configurações incorretas que representam o maior risco para o seu negócio. O tecido de dados de segurança da Mondoo analisa a ameaça e a exposição de cada descoberta dentro do contexto único da sua infraestrutura. Em vez de uma enxurrada de alertas de segurança irrelevantes, a Mondoo mostra como você pode causar um impacto imediato e significativo na sua postura de segurança.
Para começar, [entre em contato conosco](https://mondoo.com/contact).
Para saber mais sobre a Mondoo Platform, leia a [documentação da Mondoo Platform](https://mondoo.com/docs) ou visite [mondoo.com](https://mondoo.com).
### Registre o cnspec na Mondoo Platform
Para usar o cnspec com a Mondoo Platform, [gere um token no Mondoo App](https://mondoo.com/docs/cnspec/install/registration) e execute:```bash
cnspec login --token TOKEN
Uma vez autenticado, você pode escanear qualquer alvo:```bash cnspec scan
cnspec retorna os resultados da verificação para `STDOUT` e para a Mondoo Platform.
Com uma conta na Mondoo Platform, você pode fazer upload de políticas:```bash
cnspec bundle upload mypolicy.mql.yaml