cnspec

Открытый проект безопасности и политик, ориентированный на облачные технологии

cnspec оценивает безопасность и соответствие требованиям всей вашей инфраструктуры. Он выявляет уязвимости и ошибки конфигурации в публичных и частных облачных средах, кластерах Kubernetes, контейнерах, реестрах контейнеров, серверах, конечных точках, продуктах SaaS, инфраструктуре как коде, API и многом другом.

Мощный движок политик как кода, cnspec построен на основе фабрики данных безопасности Mondoo. Он поставляется с предварительно настроенными политиками безопасности, которые работают сразу из коробки. Он быстрый и простой в использовании!

Быстрый старт

bash -c "$(curl -sSL https://install.mondoo.com/sh)"
cnspec scan local

Установка

Установите cnspec с помощью нашего скрипта установки:

Linux и macOS

bash -c "$(curl -sSL https://install.mondoo.com/sh)"

Windows

Set-ExecutionPolicy Unrestricted -Scope Process -Force;
[System.Net.ServicePointManager]::SecurityProtocol = [System.Net.ServicePointManager]::SecurityProtocol -bor 3072;
iex ((New-Object System.Net.WebClient).DownloadString('https://install.mondoo.com/ps1'));
Install-Mondoo;

Если вы предпочитаете ручную установку, пакеты cnspec можно найти в наших релизах.

Запуск сканирования с помощью политик

Используйте подкоманду cnspec scan, чтобы проверить локальные и удалённые цели на наличие ошибок конфигурации и уязвимостей.

Локальное сканирование

Эта команда оценивает безопасность вашей локальной машины:

cnspec scan local

Удалённые цели сканирования

Вы также можете указать удалённые цели для сканирования. Например:

# to scan a docker image:
cnspec scan docker image ubuntu:22.04

# scan public ECR registry
aws ecr-public get-login-password --region us-east-1 | docker login --username AWS --password-stdin public.ecr.aws/r6z5b8t4
cnspec scan docker image public.ecr.aws/r6z5b8t4

# to scan an AWS account using the local AWS CLI config
cnspec scan aws

# scan an EC2 instance with EC2 Instance Connect
cnspec scan aws ec2 instance-connect root@i-1234567890abcdef0

# to scan a Kubernetes cluster via your local kubectl config or a local manifest file
cnspec scan k8s
cnspec scan k8s manifest.yaml

# to scan a GitHub repository
export GITHUB_TOKEN=<personal_access_token>
cnspec scan github repo <org/repo>

📚 Чтобы узнать больше, прочитайте документацию cnspec.

Политики

Политики cnspec построены на концепции «политика как код». cnspec поставляется с политиками безопасности по умолчанию, настроенными для всех поддерживаемых целей. Политики по умолчанию доступны в каталоге content этого репозитория.

Сканирование уязвимостей

cnspec сканирует уязвимости на широком спектре платформ. Сканирование уязвимостей не ограничивается образами контейнеров; оно также работает во время сборки и выполнения.

ПРИМЕЧАНИЕ. Для сканирования уязвимостей требуется, чтобы клиент был авторизован на Mondoo Platform.

Примеры

# scan container image
cnspec vuln docker debian:12

# scan aws instance via EC2 instance connect
cnspec vuln aws ec2 instance-connect root@i-1234567890abcdef0

# scan instance via SSH
cnspec vuln ssh user@host

# scan windows via SSH or Winrm
cnspec vuln ssh user@host --ask-pass
cnspec vuln winrm user@host --ask-pass

# scan VMware vSphere ESXi hosts
cnspec vuln vsphere user@host --ask-pass

# scan Linux, Windows
cnspec vuln local

Платформа	Версии
Alpine	3.10 - 3.24
AlmaLinux	8, 9, 10
Amazon Linux	1, 2, 2023
Arch Linux	Rolling
CentOS	6, 7, 8, Stream
Debian	8, 9, 10, 11, 12, 13
Fedora	30 - 44
openSUSE	Leap 15, Leap 16
Oracle Linux	6, 7, 8, 9, 10
Photon Linux	2, 3, 4, 5
Red Hat Enterprise Linux	6, 7, 8, 9, 10
Rocky Linux	8, 9, 10
SUSE Linux Enterprise	12, 15, 16
Ubuntu	18.04, 20.04, 22.04, 24.04, 26.04
VMware vSphere ESXi	6, 7, 8, 9
Windows	10, 11, 2016, 2019, 2022, 2025

Интерактивная оболочка cnspec

cnspec также предоставляет интерактивную оболочку для изучения утверждений (assertions). Она помогает понять утверждения, которые используются в политиках безопасности, а также писать собственные политики. Это также отличный способ взаимодействовать с локальными и удалёнными целями на лету.

Оболочка локальной системы

cnspec shell local

Оболочка предоставляет команду help для получения информации о ресурсах, на которых основан cnspec. Запуск help без аргументов выводит список всех доступных ресурсов и их полей. Вы также можете выполнить help <resource>, чтобы получить более подробную информацию о конкретном ресурсе. Например:

cnspec> help ports
ports:              TCP/IP ports on the system
  list []port:      List of all TCP/IP ports
  listening []port: All listening ports

Оболочка использует автодополнение, что упрощает исследование.

Попав в оболочку, вы можете вводить утверждения MQL, например:

> ports.listening.none( port == 23 )

Чтобы очистить терминал, введите clear.

Чтобы выйти, нажмите CTRL + D или введите exit.

Расставляйте приоритеты для действительно важных рисков с помощью Mondoo Platform

Единая платформа безопасности Mondoo находит и расставляет по приоритету уязвимости и ошибки конфигурации, которые представляют наибольший риск для вашего бизнеса. Сеть данных безопасности Mondoo анализирует угрозу и подверженность каждой находки в уникальном контексте вашей инфраструктуры. Вместо потока нерелевантных оповещений о безопасности Mondoo показывает, как вы можете оказать немедленное и значительное влияние на вашу защищённость.

Чтобы начать, свяжитесь с нами.

Чтобы узнать о Mondoo Platform, прочитайте документацию Mondoo Platform или посетите mondoo.com.

Регистрация cnspec в Mondoo Platform

Чтобы использовать cnspec с Mondoo Platform, сгенерируйте токен в Mondoo App, затем выполните:

cnspec login --token TOKEN

После аутентификации вы можете сканировать любую цель:

cnspec scan <target>

cnspec возвращает результаты сканирования в STDOUT и на платформу Mondoo.

При наличии учётной записи на платформе Mondoo вы можете загружать политики:

cnspec bundle upload mypolicy.mql.yaml

Пользовательские политики