🔥 CNSpec: инструмент аудита инфраструктуры

Когда речь заходит о проверке безопасности, большинство инструментов умеют работать либо с серверами, либо с контейнерами, либо с облаками. Но CNSpec от Mondoo ломает привычную логику: он проверяет всё: от Linux и Kubernetes до AWS, Terraform и даже GitHub Actions.

🔍 Что такое CNSpec?

CNSpec - универсальный движок политики безопасности, который использует декларативный язык CUE для описания проверок.

Он позволяет сканировать:
🚀 Облака: AWS, Azure, GCP
📦 Контейнеры и Kubernetes
💻 Серверы и рабочие станции
🏗 Инфраструктуру как код, например Terraform, Ansible, Dockerfiles
💡 CI/CD пайплайны: GitHub, GitLab, Jenkins

🧠 Коротко про фичи

✨ Универсальность
Не нужно держать 15 утилит. CNSpec работает везде, где есть артефакт, конфиг или runtime-окружение, которое можно проверить.
🔗 Политики как код (PaC)
Все проверки это обычные файлы. Легко хранить в Git, переиспользовать и версионировать.
⚡ Динамические проверки
CNSpec не просто анализирует файлы, он может подключаться к реальным системам и считывать конфигурацию на лету.
🛡 Готовые библиотеки запросов
В репозитории полно примеров и библиотек для стандартизированных проверок: CIS Benchmarks, DevSec, собственные наборы Mondoo.
🌍 Работает без агентов
Запускать можно хоть локально, хоть через CI. Ничего ставить не нужно.

🧩 Пример использования

Например, вы хотите проверить конфигурацию Docker-контейнера:
cnspec scan docker <image>
CNSpec тут же покажет:
- неверные разрешения файлов
- слабые параметры запуска
- опасные capabilities
- секреты в слоях контейнера
- inconsistent settings безопасности

Аналогичные проверки доступны для Kubernetes, AWS IAM, Terraform и т.д.

🔗 Ссылка на GitHub

Stay secure and read SecureTechTalks 📚

#cybersecurity #securetechtalks #devsec #cnspec #cloudsecurity #iacsecurity #kubernetes #securityautomation #infosec #devops