Uma segurança de código aberto e nativa da nuvem para proteger tudo, desde a compilação até o tempo de execução
Projeto de segurança e políticas de código aberto, nativo da nuvem
O cnspec avalia a segurança e a conformidade de toda a sua infraestrutura. Ele encontra vulnerabilidades e configurações incorretas em ambientes de nuvem pública e privada, clusters Kubernetes, contêineres, registros de contêineres, servidores, endpoints, produtos SaaS, infraestrutura como código, APIs e muito mais.
Um poderoso mecanismo de políticas como código, o cnspec é construído sobre o tecido de dados de segurança da Mondoo. Ele vem configurado com políticas de segurança padrão que funcionam imediatamente. É rápido e simples de usar!
bash -c "$(curl -sSL https://install.mondoo.com/sh)" cnspec scan local
## Instalação
Instale o cnspec com o nosso script de instalação:
**Linux e macOS**```bash
bash -c "$(curl -sSL https://install.mondoo.com/sh)"
Windows```powershell Set-ExecutionPolicy Unrestricted -Scope Process -Force; [System.Net.ServicePointManager]::SecurityProtocol = [System.Net.ServicePointManager]::SecurityProtocol -bor 3072; iex ((New-Object System.Net.WebClient).DownloadString('')); Install-Mondoo;
Se você preferir a instalação manual, pode encontrar os pacotes do cnspec nas nossas [releases](https://github.com/mondoohq/cnspec/releases).
## Executar uma verificação com políticas
Use o subcomando `cnspec scan` para verificar alvos locais e remotos em busca de configurações incorretas e vulnerabilidades.
### Verificação local
Este comando avalia a segurança da sua máquina local:```bash
cnspec scan local
Você também pode especificar alvos remotos para escanear. Por exemplo:```bash
cnspec scan docker image ubuntu:22.04
aws ecr-public get-login-password --region us-east-1 | docker login --username AWS --password-stdin public.ecr.aws/r6z5b8t4 cnspec scan docker image public.ecr.aws/r6z5b8t4
cnspec scan aws
cnspec scan aws ec2 instance-connect root@i-1234567890abcdef0
cnspec scan k8s cnspec scan k8s manifest.yaml
export GITHUB_TOKEN=<personal_access_token> cnspec scan github repo <org/repo>
[:books: Para saber mais, leia a documentação do cnspec.](https://mondoo.com/docs/cnspec)
### Políticas
As políticas do cnspec são construídas sobre o conceito de política como código. O cnspec vem com políticas de segurança padrão configuradas para todos os alvos suportados. As políticas padrão estão disponíveis no diretório `content` deste repositório.
## Verificação de vulnerabilidades
O cnspec verifica vulnerabilidades em uma ampla variedade de plataformas. A verificação de vulnerabilidades não se restringe a imagens de contêiner; funciona tanto em tempo de compilação quanto em tempo de execução.
NOTA: A verificação de vulnerabilidades requer que o cliente esteja conectado à Mondoo Platform.
### Exemplos```bash
# scan container image
cnspec vuln docker debian:12
# scan aws instance via EC2 instance connect
cnspec vuln aws ec2 instance-connect root@i-1234567890abcdef0
# scan instance via SSH
cnspec vuln ssh user@host
# scan windows via SSH or Winrm
cnspec vuln ssh user@host --ask-pass
cnspec vuln winrm user@host --ask-pass
# scan VMware vSphere ESXi hosts
cnspec vuln vsphere user@host --ask-pass
# scan Linux, Windows
cnspec vuln local
| Plataforma | Versões |
|---|---|
| Alpine | 3.10 - 3.24 |
| AlmaLinux | 8, 9, 10 |
| Amazon Linux | 1, 2, 2023 |
| Arch Linux | Rolling |
| CentOS | 6, 7, 8, Stream |
| Debian | 8, 9, 10, 11, 12, 13 |
| Fedora | 30 - 44 |
| openSUSE | Leap 15, Leap 16 |
| Oracle Linux | 6, 7, 8, 9, 10 |
| Photon Linux | 2, 3, 4, 5 |
| Red Hat Enterprise Linux | 6, 7, 8, 9, 10 |
| Rocky Linux | 8, 9, 10 |
| SUSE Linux Enterprise | 12, 15, 16 |
| Ubuntu | 18.04, 20.04, 22.04, 24.04, 26.04 |
| VMware vSphere ESXi | 6, 7, 8, 9 |
| Windows | 10, 11, 2016, 2019, 2022, 2025 |
O cnspec também fornece um shell interativo para explorar asserções. Ele ajuda você a entender as asserções que as políticas de segurança utilizam, bem como a escrever suas próprias políticas. Também é uma ótima maneira de interagir com alvos locais e remotos em tempo real.
cnspec shell local
O shell fornece um comando `help` para obter informações sobre os recursos que alimentam o cnspec. Executar `help` sem quaisquer argumentos lista todos os recursos disponíveis e os seus campos. Também pode executar `help <resource>` para obter mais detalhes sobre um recurso específico. Por exemplo:```bash
cnspec> help ports
ports: TCP/IP ports on the system
list []port: List of all TCP/IP ports
listening []port: All listening ports
O shell usa preenchimento automático, o que facilita a exploração.
Uma vez dentro do shell, você pode inserir asserções MQL como esta:```coffeescript
ports.listening.none( port == 23 )
Para limpar o terminal, digite `clear`.
Para sair, pressione CTRL + D ou digite `exit`.
## Priorize riscos que importam com a Mondoo Platform
A plataforma de segurança unificada da Mondoo encontra e prioriza vulnerabilidades e configurações incorretas que representam o maior risco para o seu negócio. O tecido de dados de segurança da Mondoo analisa a ameaça e a exposição de cada descoberta dentro do contexto único da sua infraestrutura. Em vez de uma enxurrada de alertas de segurança irrelevantes, a Mondoo mostra como você pode causar um impacto imediato e significativo na sua postura de segurança.
Para começar, [entre em contato conosco](https://mondoo.com/contact).
Para saber mais sobre a Mondoo Platform, leia a [documentação da Mondoo Platform](https://mondoo.com/docs) ou visite [mondoo.com](https://mondoo.com).
### Registre o cnspec na Mondoo Platform
Para usar o cnspec com a Mondoo Platform, [gere um token no Mondoo App](https://mondoo.com/docs/cnspec/install/registration) e execute:```bash
cnspec login --token TOKEN
Uma vez autenticado, você pode escanear qualquer alvo:```bash cnspec scan
cnspec retorna os resultados da verificação para `STDOUT` e para a Mondoo Platform.
Com uma conta na Mondoo Platform, você pode fazer upload de políticas:```bash
cnspec bundle upload mypolicy.mql.yaml
Uma política cnspec é simplesmente um arquivo YAML que permite expressar qualquer regra de segurança ou boa prática para sua frota.
Alguns exemplos podem ser encontrados na pasta examples neste repositório. Você pode executar qualquer uma dessas políticas:```bash
cnspec scan local -f examples/example.mql.yaml
Se você estiver interessado em escrever suas próprias políticas ou contribuir com políticas de volta para a comunidade cnspec, leia o [Guia de Criação de Políticas](https://mondoo.com/docs/cnspec/write-policies/write-intro) da Mondoo.
## Alvos suportados| Destino | Provedor | Exemplo |
| ------------------------------ | -------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------- |
| Domínios do Active Directory | `activedirectory` | `cnspec scan activedirectory --dc DC_HOSTNAME --user USER --password PASSWORD` |
| Contas do Alibaba Cloud | `alicloud` | `cnspec scan alicloud --access-key-id KEY_ID --access-key-secret KEY_SECRET` |
| Playbooks do Ansible | `ansible` | `cnspec shell ansible YOUR_PLAYBOOK.yml` |
| Clusters do Apache Cassandra | `cassandra` | `cnspec scan cassandra HOST --user USER --ask-pass` |
| Dispositivos de rede Arista | `arista` | `cnspec scan arista DEVICE_PUBLIC_IP --ask-pass` |
| Organizações Atlassian | `atlassian admin` | `cnspec shell atlassian admin --admin-token YOUR_TOKEN` |
| Tenants do Auth0 | `auth0` | `cnspec scan auth0 --domain TENANT_DOMAIN --client-id CLIENT_ID --client-secret CLIENT_SECRET` |
| Contas da AWS | `aws` | `cnspec scan aws` |
| Templates do AWS CloudFormation | `cloudformation` | `cnspec scan cloudformation cloudformation_file.json` |
| Snapshot do AWS EC2 EBS | `aws ec2 ebs snapshot` | `cnspec scan aws ec2 ebs snapshot SNAPSHOTID` |
| Volume do AWS EC2 EBS | `aws ec2 ebs volume` | `cnspec scan aws ec2 ebs volume VOLUMEID` |
| AWS EC2 Instance Connect | `aws ec2 instance-connect` | `cnspec scan aws ec2 instance-connect ec2-user@INSTANCEID` |
| Instâncias do AWS EC2 | `ssh` | `cnspec scan ssh user@host` |
| Arquivos Bicep e templates ARM | `bicep` | `cnspec scan bicep BICEP_FILE_OR_PATH` |
| Organizações Bitwarden | `bitwarden` | `cnspec scan bitwarden --client-id organization.UUID --client-secret CLIENT_SECRET` |
| Dispositivos de bloco | `device` | `cnspec scan device --lun LOGICAL_UNIT_NUMBER` |
| Servidores de gerenciamento Check Point | `checkpoint` | `cnspec scan checkpoint --hostname HOSTNAME --api-key API_KEY` |
| Dispositivos Cisco Catalyst | `ciscocatalyst` | `cnspec scan ciscocatalyst HOSTNAME --user USER --ask-pass` |
| Contas da plataforma Claude AI | `claude` | `cnspec scan claude --admin-token ADMIN_API_KEY` |
| Organizações ClickHouse Cloud | `clickhousecloud` | `cnspec scan clickhousecloud --organization-id ORG_ID --api-key KEY_ID --ask-secret` |
| Servidores ClickHouse | `clickhousedb` | `cnspec scan clickhousedb HOST --user USER --ask-pass` |
| Contas Cloudflare | `cloudflare` | `cnspec scan cloudflare --token ACCESS_TOKEN` |
| Usuários do Confluence | `atlassian confluence` | `cnspec shell atlassian confluence --host YOUR_HOST_URL --user USER --user-token YOUR_TOKEN` |
| Imagens de contêiner | `container`, `docker` | `cnspec scan container ubuntu:latest` |
| Registros de contêiner | `container registry` | `cnspec scan container registry index.docker.io/library/rockylinux:8` |
| Contas Databricks | `databricks` | `cnspec scan databricks --account-id ACCOUNT_ID --client-id CLIENT_ID --client-secret CLIENT_SECRET` |
| Contas Datadog | `datadog` | `cnspec scan datadog --api-key API_KEY --app-key APP_KEY` |
| Contas DigitalOcean | `digitalocean` | `cnspec scan digitalocean --token API_TOKEN` |
| Registros DNS | `host` | `cnspec scan host mondoo.com` |
| Dockerfiles | `docker` | `cnspec shell docker file FILENAME` |
| Equipes do Dropbox Business | `dropbox` | `cnspec scan dropbox --token TEAM_ACCESS_TOKEN` |
| Clusters Elasticsearch | `elasticsearch` | `cnspec scan elasticsearch HOST --user USER --ask-pass` |
| Sistemas F5 BIG-IP | `bigip` | `cnspec scan bigip --hostname HOSTNAME --username USER --ask-pass` |
| Sistemas de arquivos | `filesystem` | `cnspec scan filesystem MOUNT_PATH` |
| Dispositivos FortiOS | `fortios` | `cnspec scan fortios --hostname HOSTNAME --token API_TOKEN` |
| Organizações GitHub | `github org` | `cnspec scan github org mondoohq` |
| Repositórios GitHub | `github repo` | `cnspec scan github repo mondoohq/cnspec` |
| Grupos GitLab | `gitlab` | `cnspec scan gitlab --group mondoohq` |
| Projetos Google Cloud | `gcp` | `cnspec scan gcp` |
| Google Workspace | `google-workspace` | `cnspec scan google-workspace --customer-id CUSTOMER_ID --impersonated-user-email EMAIL --credentials-path JSON_FILE` |
| Organizações Grafana | `grafana` | `cnspec scan grafana --url GRAFANA_URL --token API_TOKEN` |
| HashiCorp Cloud Platform | `hcp` | `cnspec scan hcp --client-id CLIENT_ID --client-secret CLIENT_SECRET` |
| Helm charts | `helm` | `cnspec scan helm CHART_PATH` |
| Projetos Hetzner Cloud | `hetzner` | `cnspec scan hetzner --token API_TOKEN` |
| Namespaces Hugging Face | `huggingface` | `cnspec scan huggingface --token API_TOKEN --namespace NAMESPACE --namespace-type org` |
| Bancos de dados IBM Db2 | `db2` | `cnspec scan db2 HOST --database DATABASE --user USER --ask-pass` |
| Dispositivos IoT | `opcua` | `cnspec shell opcua` |
| Informações de endereço IP | `ipinfo` | `cnspec shell ipinfo` |
| Interfaces IPMI | `ipmi` | `cnspec scan ipmi user@host` |
| Tenants Iru | `iru` | `cnspec scan iru --subdomain SUBDOMAIN --token API_TOKEN` |
| Contas Jamf Pro | `jamf` | `cnspec scan jamf --client-id CLIENT_ID --client-secret CLIENT_SECRET --instance-domain INSTANCE_URL` |
| Instâncias JFrog Artifactory | `artifactory` | `cnspec scan artifactory --url ARTIFACTORY_URL --token ACCESS_TOKEN` |
| Projetos Jira | `atlassian jira` | `cnspec shell atlassian jira --host YOUR_HOST_URL --user USER --user-token YOUR_TOKEN` |
| Organizações JumpCloud | `jumpcloud` | `cnspec scan jumpcloud --api-key API_KEY` |
| Dispositivos Juniper Junos | `junos` | `cnspec scan junos --hostname DEVICE_IP --username USER_NAME --identity-file SSH_IDENTITY_FILE` |
| Servidores Keycloak | `keycloak` | `cnspec scan keycloak --url KEYCLOAK_URL --realm REALM --client-id CLIENT_ID --client-secret CLIENT_SECRET` |
| Nós de cluster Kubernetes | `local`, `ssh` | `cnspec scan ssh user@host` |
| Clusters Kubernetes | `k8s` | `cnspec scan k8s` |
| Manifestos Kubernetes | `k8s` | `cnspec scan k8s manifest.yaml` |
| Cargas de trabalho Kubernetes | `k8s` | `cnspec scan k8s --discover pods,deployments` |
| Overlays Kustomize | `kustomize` | `cnspec scan kustomize OVERLAY_PATH` |
| Hosts Linux | `local`, `ssh` | `cnspec scan local` ou<br></br>`cnspec scan ssh user@host` |
| Hosts macOS | `local`, `ssh` | `cnspec scan local` ou<br></br>`cnspec scan ssh user@IP_ADDRESS` |
| Tenants Microsoft 365 | `ms365` | `cnspec scan ms365 --tenant-id TENANT_ID --client-id CLIENT_ID --certificate-path PEM_FILE` |
| Instâncias Microsoft Azure | `ssh` | `cnspec scan ssh user@host` |
| Assinaturas Microsoft Azure | `azure` | `cnspec scan azure --subscription SUBSCRIPTION_ID` |
| Instâncias Microsoft SQL Server | `mssql` | `cnspec scan mssql HOST --user USER --ask-pass` |
| Dispositivos MikroTik RouterOS | `mikrotik` | `cnspec scan mikrotik user@host --ask-pass` |
| Workspaces Mistral AI | `mistral` | `cnspec scan mistral --token API_KEY --workspace WORKSPACE_ID` |
| Servidores Model Context Protocol | `mcp` | `cnspec scan mcp http http://localhost:8080/mcp` |
| Mondoo Platform | `mondoo` | `cnspec scan mondoo` |
| Organizações MongoDB Atlas | `mongodbatlas` | `cnspec scan mongodbatlas --org-id ORG_ID --public-key PUBLIC_KEY --private-key PRIVATE_KEY` |
| Servidores MongoDB | `mongo` | `cnspec scan mongo HOST --user USER --ask-pass` |
| Servidores MySQL e MariaDB | `mysqldb` | `cnspec scan mysqldb HOST --user USER --ask-pass` |
| Organizações Neon | `neon` | `cnspec scan neon --token API_KEY` |
| Contas Netlify | `netlify` | `cnspec scan netlify --token ACCESS_TOKEN` |
| Dispositivos de rede via SSH | `nd-ssh` | `cnspec scan nd-ssh user@host --ask-pass` |
| Contas NextDNS | `nextdns` | `cnspec scan nextdns --api-key API_KEY` |
| Varreduras de rede Nmap | `nmap` | `cnspec shell nmap host IP_ADDRESS` |
| Nutanix Prism Central | `nutanix` | `cnspec scan nutanix --endpoint ENDPOINT --user USER --ask-pass` |
| Organização Okta | `okta` | `cnspec scan okta --token TOKEN --organization ORGANIZATION` |
| Instâncias Ollama | `ollama` | `cnspec scan ollama --host OLLAMA_URL` |
| Contas OpenAI | `openai` | `cnspec scan openai --token ADMIN_API_KEY --organization ORG_ID` |
| Clusters OpenSearch | `opensearch` | `cnspec scan opensearch HOST --user USER --ask-pass` |
| Projetos OpenStack | `openstack` | `cnspec scan openstack --cloud CLOUDS_YAML_ENTRY` |
| Oracle Cloud Interface (OCI) | `oci` | `cnspec scan oci` |
| Oracle Database | `oracledb` | `cnspec scan oracledb HOST --service SERVICE_NAME --user USER --ask-pass` |
| Firewalls PAN-OS | `panos` | `cnspec scan panos --hostname HOSTNAME --username USER --ask-pass` |
| Instâncias Portainer | `portainer` | `cnspec scan portainer PORTAINER_URL --access-token ACCESS_TOKEN` |
| Servidores PostgreSQL | `postgresdb` | `cnspec scan postgresdb HOST --user USER --ask-pass` |
| Hipervisores Proxmox VE | `proxmox` | `cnspec scan proxmox --host PROXMOX_URL --token API_TOKEN` |
| Controladores de gerenciamento Redfish | `redfish` | `cnspec scan redfish user@host --ask-pass` |
| Servidores Redis e Valkey | `redisdb` | `cnspec scan redisdb HOST --ask-pass` |
| Contêineres em execução | `docker` | `cnspec scan docker CONTAINER_ID` |
| Mecanismo de busca Shodan | `shodan` | `cnspec shell shodan` |
| Equipe Slack | `slack` | `cnspec scan slack --token TOKEN` |
| Contas Snowflake | `snowflake` | `cnspec scan snowflake --account ACCOUNT_ID --region REGION --user USER --role ROLE --token TOKEN` |
| Dependências de software | `depsdev` | `cnspec scan depsdev PATH_TO_GO_MOD` |
| Certificados SSL em sites | `host` | `cnspec scan host mondoo.com` |
| Projetos STACKIT | `stackit` | `cnspec scan stackit --project-id PROJECT_ID --service-account-key-path KEY_FILE` |
| Subdomínios | `networkdiscovery` | `cnspec scan networkdiscovery mondoohq.com --discover subdomains` |
| Redes Tailscale | `tailscale` | `cnspec scan tailscale --token ACCESS_TOKEN` |
| Terraform HCL | `terraform` | `cnspec scan terraform HCL_FILE_OR_PATH` |
| Plano Terraform | `terraform plan` | `cnspec scan terraform plan plan.json` |
| Estado Terraform | `terraform state` | `cnspec scan terraform state state.json` |
| Contas Together AI | `together` | `cnspec scan together --token API_KEY` |
| Controladores Ubiquiti UniFi | `unifi` | `cnspec scan unifi --hostname HOSTNAME --username USER --ask-pass` |
| Máquinas virtuais Vagrant | `vagrant` | `cnspec scan vagrant HOST` |
| Contas Vercel | `vercel` | `cnspec scan vercel --token ACCESS_TOKEN` |
| Servidores de inferência vLLM | `vllm` | `cnspec scan vllm ENDPOINT` |
| VMware Cloud Director | `vcd` | `cnspec shell vcd --user USER --host HOST --ask-pass` |
| VMware vSphere | `vsphere` | `cnspec scan vsphere user@domain@host --ask-pass` |
| Bancos de dados vetoriais Weaviate | `weaviate` | `cnspec scan weaviate HOST --api-key API_KEY` |
| Hosts Windows | `local`, `ssh`, `winrm` | `cnspec scan local`,<br></br>`cnspec scan ssh Administrator@IP_ADDRESS --ask-pass` ou<br></br>`cnspec scan winrm Administrator@IP_ADDRESS --ask-pass` |
| Contas Zoom | `zoom` | `cnspec scan zoom --account-id ACCOUNT_ID --client-id CLIENT_ID --client-secret CLIENT_SECRET` |## Habilidades de agente
O cnspec inclui habilidades de agente que fornecem aos agentes de codificação expertise em MQL e capacidades de navegação de políticas. As habilidades funcionam em Claude Code, Cursor, Gemini CLI e Codex.
| Habilidade | Descrição |
|-------|-------------|
| [mql](https://github.com/mondoohq/cnspec/blob/main/skills/mql) | Desenvolvimento de consultas MQL com orientação de sintaxe, padrões específicos de plataforma e descoberta de esquema |
| [policy-graph](https://github.com/mondoohq/cnspec/blob/main/skills/policy-graph) | Navegue por pacotes de políticas usando comandos de grafo — pesquise, rastreie mapeamentos de conformidade, explore a estrutura |
Consulte [skills/README.md](https://github.com/mondoohq/cnspec/blob/main/skills/README.md) para instruções de instalação e detalhes.
## O que vem a seguir?
Há tantas coisas que o cnspec pode fazer, desde testar toda a sua frota em busca de vulnerabilidades até coletar informações e criar relatórios para auditores. Com suas políticas personalizadas, o cnspec pode escanear qualquer componente que lhe importe!
Explore nossos:
- [cnspec docs](https://mondoo.com/docs/cnspec)
- [Policy as code](https://mondoo.com/docs/cnspec/write-policies/write-intro)
- [MQL](https://github.com/mondoohq/mql), nosso framework de inventário de ativos nativo da nuvem e de código aberto
- [MQL introduction](https://mondoohq.github.io/mql-intro/index.html)
- [MQL resource packs](https://mondoo.com/docs/mql/resources)
- [HashiCorp Packer plugin](https://github.com/mondoohq/packer-plugin-mondoo) para integrar o cnspec com o HashiCorp Packer!
## Junte-se à comunidade!
Nosso objetivo é proteger todas as camadas da sua infraestrutura. Se você precisa de suporte ou quer se envolver no desenvolvimento do cnspec, junte-se à nossa [comunidade](https://github.com/orgs/mondoohq/discussions) hoje e vamos crescer juntos!
## Desenvolvimento
Consulte nossa [documentação de desenvolvimento](https://github.com/mondoohq/cnspec/blob/main/docs/development.md) para obter informações sobre como compilar e contribuir com o cnspec.
## Legal
- **Copyright:** 2018-2026, Mondoo, Inc.
- **Licença:** BUSL 1.1
- **Autores:** Christoph Hartmann, Dominik Richter