Открытый, облачно-ориентированный инструмент безопасности для защиты всего — от сборки до времени выполнения
Открытый проект безопасности и политик для облачных сред
cnspec оценивает безопасность и соответствие требованиям всей вашей инфраструктуры. Он выявляет уязвимости и ошибки конфигурации в публичных и частных облачных средах, кластерах Kubernetes, контейнерах, реестрах контейнеров, серверах, конечных точках, SaaS-продуктах, инфраструктуре как коде, API и многом другом.
Мощный движок политик как кода, cnspec построен на основе фабрики данных безопасности Mondoo. Он поставляется с предварительно настроенными политиками безопасности, которые работают сразу из коробки. Он быстрый и простой в использовании!
bash -c "$(curl -sSL https://install.mondoo.com/sh)" cnspec scan local
## Установка
Установите cnspec с помощью нашего скрипта установки:
**Linux и macOS**```bash
bash -c "$(curl -sSL https://install.mondoo.com/sh)"
Windows```powershell Set-ExecutionPolicy Unrestricted -Scope Process -Force; [System.Net.ServicePointManager]::SecurityProtocol = [System.Net.ServicePointManager]::SecurityProtocol -bor 3072; iex ((New-Object System.Net.WebClient).DownloadString('https://install.mondoo.com/ps1')); Install-Mondoo;
Если вы предпочитаете ручную установку, пакеты cnspec можно найти в наших [релизах](https://github.com/mondoohq/cnspec/releases).
## Запуск сканирования с помощью политик
Используйте подкоманду `cnspec scan` для проверки локальных и удалённых целей на наличие ошибок конфигурации и уязвимостей.
### Локальное сканирование
Эта команда оценивает безопасность вашей локальной машины:```bash
cnspec scan local
Вы также можете указать удалённые цели для сканирования. Например:```bash
cnspec scan docker image ubuntu:22.04
aws ecr-public get-login-password --region us-east-1 | docker login --username AWS --password-stdin public.ecr.aws/r6z5b8t4 cnspec scan docker image public.ecr.aws/r6z5b8t4
cnspec scan aws
cnspec scan aws ec2 instance-connect root@i-1234567890abcdef0
cnspec scan k8s cnspec scan k8s manifest.yaml
export GITHUB_TOKEN=<personal_access_token> cnspec scan github repo <org/repo>
[:books: Чтобы узнать больше, прочитайте документацию cnspec.](https://mondoo.com/docs/cnspec)
### Политики
Политики cnspec построены на концепции «политика как код». cnspec поставляется с политиками безопасности по умолчанию, настроенными для всех поддерживаемых целей. Политики по умолчанию доступны в каталоге `content` этого репозитория.
## Сканирование уязвимостей
cnspec выполняет сканирование уязвимостей на широком спектре платформ. Сканирование уязвимостей не ограничивается образами контейнеров; оно работает как во время сборки, так и во время выполнения.
ПРИМЕЧАНИЕ: Для сканирования уязвимостей требуется, чтобы клиент был авторизован на платформе Mondoo.
### Примеры```bash
# scan container image
cnspec vuln docker debian:12
# scan aws instance via EC2 instance connect
cnspec vuln aws ec2 instance-connect root@i-1234567890abcdef0
# scan instance via SSH
cnspec vuln ssh user@host
# scan windows via SSH or Winrm
cnspec vuln ssh user@host --ask-pass
cnspec vuln winrm user@host --ask-pass
# scan VMware vSphere ESXi hosts
cnspec vuln vsphere user@host --ask-pass
# scan Linux, Windows
cnspec vuln local
| Платформа | Версии |
|---|---|
| Alpine | 3.10 - 3.24 |
| AlmaLinux | 8, 9, 10 |
| Amazon Linux | 1, 2, 2023 |
| Arch Linux | Rolling |
| CentOS | 6, 7, 8, Stream |
| Debian | 8, 9, 10, 11, 12, 13 |
| Fedora | 30 - 44 |
| openSUSE | Leap 15, Leap 16 |
| Oracle Linux | 6, 7, 8, 9, 10 |
| Photon Linux | 2, 3, 4, 5 |
| Red Hat Enterprise Linux | 6, 7, 8, 9, 10 |
| Rocky Linux | 8, 9, 10 |
| SUSE Linux Enterprise | 12, 15, 16 |
| Ubuntu | 18.04, 20.04, 22.04, 24.04, 26.04 |
| VMware vSphere ESXi | 6, 7, 8, 9 |
| Windows | 10, 11, 2016, 2019, 2022, 2025 |
cnspec также предоставляет интерактивную оболочку для изучения утверждений. Она помогает понять утверждения, используемые политиками безопасности, а также написать собственные политики. Это также отличный способ взаимодействия с локальными и удалёнными целями на лету.
cnspec shell local
Оболочка предоставляет команду `help` для получения информации о ресурсах, на которых основан cnspec. Запуск `help` без аргументов выводит список всех доступных ресурсов и их полей. Также можно выполнить `help <resource>`, чтобы получить более подробную информацию о конкретном ресурсе. Например:```bash
cnspec> help ports
ports: TCP/IP ports on the system
list []port: List of all TCP/IP ports
listening []port: All listening ports
Оболочка использует автодополнение, что упрощает исследование.
Попав в оболочку, вы можете вводить утверждения MQL, например:```coffeescript
ports.listening.none( port == 23 )
Чтобы очистить терминал, введите `clear`.
Чтобы выйти, нажмите CTRL + D или введите `exit`.
## Расставляйте приоритеты для действительно важных рисков с помощью Mondoo Platform
Единая платформа безопасности Mondoo находит и расставляет приоритеты для уязвимостей и ошибок конфигурации, которые представляют наибольший риск для вашего бизнеса. Фабрика данных безопасности Mondoo анализирует угрозу и подверженность каждой находки в уникальном контексте вашей инфраструктуры. Вместо потока нерелевантных оповещений о безопасности Mondoo показывает, как вы можете оказать немедленное и значительное влияние на вашу безопасность.
Чтобы начать, [свяжитесь с нами](https://mondoo.com/contact).
Чтобы узнать о Mondoo Platform, прочитайте [документацию Mondoo Platform](https://mondoo.com/docs) или посетите [mondoo.com](https://mondoo.com).
### Зарегистрируйте cnspec в Mondoo Platform
Чтобы использовать cnspec с Mondoo Platform, [сгенерируйте токен в Mondoo App](https://mondoo.com/docs/cnspec/install/registration), затем выполните:```bash
cnspec login --token TOKEN
После аутентификации вы можете сканировать любую цель:```bash cnspec scan
cnspec возвращает результаты сканирования в `STDOUT` и на платформу Mondoo.
Имея учётную запись на платформе Mondoo, вы можете загружать политики:```bash
cnspec bundle upload mypolicy.mql.yaml